1.4.1. Eliminazione di una SA con scambi INFORMATIONAL

1.4.1. Eliminazione di una SA con scambi INFORMATIONAL

Le SA ESP e AH esistono sempre in coppia, con una SA in ciascuna direzione. Quando una SA viene chiusa, entrambi i membri della coppia DEVONO essere chiusi (ovvero eliminati). Ciascun endpoint DEVE chiudere le proprie SA in ingresso e consentire all'altro endpoint di chiudere l'altra SA in ciascuna coppia. Per eliminare una SA, viene inviato uno scambio INFORMATIONAL con uno o più payload Delete che elencano gli SPI (come ci si aspetterebbe nelle intestazioni dei pacchetti in ingresso) delle SA da eliminare. Il destinatario DEVE chiudere le SA designate. Si noti che non si inviano mai payload Delete per i due lati di una SA in un singolo messaggio. Se ci sono molte SA da eliminare contemporaneamente, si includono i payload Delete per la metà in ingresso di ciascuna coppia di SA nello scambio INFORMATIONAL.

Normalmente, la risposta nello scambio INFORMATIONAL conterrà payload Delete per le SA accoppiate che vanno nell'altra direzione. C'è un'eccezione. Se, per caso, entrambe le estremità di un insieme di SA decidono indipendentemente di chiuderle, ciascuna può inviare un payload Delete e le due richieste possono incrociarsi nella rete. Se un nodo riceve una richiesta di eliminazione per SA per le quali ha già emesso una richiesta di eliminazione, DEVE eliminare le SA in uscita durante l'elaborazione della richiesta e le SA in ingresso durante l'elaborazione della risposta. In quel caso, le risposte NON DEVONO includere payload Delete per le SA eliminate, poiché ciò risulterebbe in un'eliminazione duplicata e potrebbe in teoria eliminare la SA sbagliata.

Analogamente alle SA ESP e AH, anche le IKE SA vengono eliminate inviando uno scambio Informational. L'eliminazione di una IKE SA chiude implicitamente qualsiasi Child SA rimanente negoziata sotto di essa. La risposta a una richiesta che elimina la IKE SA è una risposta INFORMATIONAL vuota.

Le connessioni ESP o AH a metà chiusura sono anomale, e un nodo con capacità di auditing dovrebbe probabilmente registrare la loro esistenza se persistono. Si noti che questa specifica non specifica periodi di tempo, quindi spetta ai singoli endpoint decidere per quanto tempo attendere. Un nodo PUÒ rifiutarsi di accettare dati in ingresso su connessioni a metà chiusura ma NON DEVE chiuderle unilateralmente e riutilizzare gli SPI. Se lo stato della connessione diventa sufficientemente danneggiato, un nodo PUÒ chiudere la IKE SA, come descritto sopra. Può quindi ricostruire le SA di cui ha bisogno su una base pulita sotto una nuova IKE SA.