9.2.3 Comments for IPsec Support (Commenti per il supporto IPsec)
9.2.3 Comments for IPsec Support (Commenti per il supporto IPsec)
Durante la revisione da parte del gruppo di lavoro IPsec, sono stati ricevuti numerosi commenti su due aree di questo documento. Questa sezione descrive questi commenti e spiega perché le modifiche proposte non sono state adottate.
Il primo commento suggeriva che la configurazione per-nodo è più facile da implementare rispetto alla configurazione per-SA. Dopo attenta riflessione, sebbene la configurazione per-nodo fosse inizialmente incoraggiata, non è più una buona idea. La preoccupazione è che, man mano che la consapevolezza ECN viene distribuita in modo incrementale in IPsec, molte implementazioni IPsec consapevoli di ECN si troveranno a comunicare con un mix di endpoint del tunnel IPsec consapevoli e non consapevoli di ECN. In tale ambiente con configurazione per-nodo, l'unica cosa ragionevole da fare è vietare l'uso di ECN per tutti i tunnel IPsec, il che non è il risultato desiderato.
Nella seconda area, diversi revisori hanno sottolineato che la negoziazione SA è complessa e che le aggiunte ad essa sono non banali. Un revisore ha suggerito l'uso di ICMP dopo il setup del tunnel come possibile alternativa. L'aggiunta alla negoziazione SA in questo documento è opzionale e rimarrà opzionale; gli implementatori sono liberi di ignorarla. Gli autori ritengono che le garanzie che fornisce possano essere utili in molti casi. In pratica, se non viene implementata, può essere rimossa in fasi successive del processo standard. Estendere ICMP per negoziare ECN dopo il setup del tunnel è più complicato che estendere la negoziazione degli attributi SA. Alcuni tunnel non consentono il traffico indirizzato all'endpoint di uscita del tunnel, quindi i pacchetti ICMP dovrebbero essere indirizzati altrove, scansionati dall'endpoint di uscita e scartati lì o alla loro destinazione effettiva. Inoltre, la consegna ICMP è inaffidabile, quindi esiste la possibilità che i pacchetti ICMP vengano scartati, richiedendo l'invenzione di un altro meccanismo di ack/ritrasmissione. Sembra migliore specificare semplicemente un'estensione opzionale al meccanismo di negoziazione SA esistente.