9.2.3. Commentaires sur le Support IPsec (Comments for IPsec Support)

Lors de l'examen par le groupe de travail IPsec, un nombre important de commentaires ont été reçus concernant deux domaines de ce document. Cette section décrit ces commentaires et explique pourquoi les changements proposés n'ont pas été adoptés.

Le premier commentaire indiquait que la configuration par nœud était plus facile à mettre en œuvre que la configuration par SA. Après mûre réflexion, bien que la configuration par nœud ait été initialement encouragée, ce n'est plus une bonne idée. La préoccupation est qu'à mesure que la sensibilisation à ECN sera déployée de manière incrémentale dans IPsec, de nombreuses implémentations IPsec conscientes d'ECN se retrouveront à communiquer avec un mélange de points de terminaison de tunnel IPsec conscients et non conscients d'ECN. Dans un tel environnement avec configuration par nœud, la seule chose raisonnable à faire serait d'interdire l'utilisation d'ECN pour tous les tunnels IPsec, ce qui n'est pas le résultat souhaité.

Dans le deuxième domaine, plusieurs examinateurs ont noté que la négociation SA est complexe et que lui ajouter des éléments est non trivial. Un examinateur a suggéré l'utilisation d'ICMP comme alternative possible après la configuration du tunnel. L'ajout à la négociation SA dans ce document est optionnel et restera optionnel ; les implémenteurs sont libres de l'ignorer. Les auteurs estiment que les garanties qu'il offre peuvent être utiles dans de nombreux cas. En pratique, s'il n'est pas implémenté, il peut être supprimé lors d'une étape ultérieure du processus de normalisation. Étendre ICMP pour négocier ECN après la configuration du tunnel est plus compliqué que d'étendre la négociation d'attributs SA. Certains tunnels n'autorisent pas le trafic adressé au point de terminaison de sortie du tunnel, de sorte que les paquets ICMP devraient être adressés ailleurs, analysés par le point de terminaison de sortie et abandonnés là-bas ou à leur destination réelle. De plus, la livraison ICMP n'est pas fiable, il y a donc la possibilité que les paquets ICMP soient abandonnés, nécessitant l'invention d'un autre mécanisme d'accusé de réception/retransmission. Il semble préférable de spécifier simplement une extension optionnelle du mécanisme de négociation SA existant.