Appendice C. Scambi e payload

Questa appendice contiene un breve riepilogo degli scambi IKEv2 e di quali payload possono apparire in quale messaggio. Questa appendice è puramente informativa; in caso di disaccordo con il corpo del documento, il altro testo è considerato corretto.

I payload Vendor ID (V) possono essere inclusi in qualsiasi punto di qualsiasi messaggio. La sequenza qui mostrata indica i punti più logici per essi.

C.1. Scambio IKE_SA_INIT

request --> [N(COOKIE)], SA, KE, Ni, [N(NAT_DETECTION_SOURCE_IP)+, N(NAT_DETECTION_DESTINATION_IP)], [V+][N+]

normal response <-- SA, KE, Nr, (senza cookie) [N(NAT_DETECTION_SOURCE_IP), N(NAT_DETECTION_DESTINATION_IP)], [[N(HTTP_CERT_LOOKUP_SUPPORTED)], CERTREQ+], [V+][N+]

cookie response <-- N(COOKIE), [V+][N+]

gruppo Diffie- <-- N(INVALID_KE_PAYLOAD), Hellman diverso [V+][N+] richiesto

C.2. Scambio IKE_AUTH senza EAP

request --> IDi, [CERT+], [N(INITIAL_CONTACT)], [[N(HTTP_CERT_LOOKUP_SUPPORTED)], CERTREQ+], [IDr], AUTH, [CP(CFG_REQUEST)], [N(IPCOMP_SUPPORTED)+], [N(USE_TRANSPORT_MODE)], [N(ESP_TFC_PADDING_NOT_SUPPORTED)], [N(NON_FIRST_FRAGMENTS_ALSO)], SA, TSi, TSr, [V+][N+]

response <-- IDr, [CERT+], AUTH, [CP(CFG_REPLY)], [N(IPCOMP_SUPPORTED)], [N(USE_TRANSPORT_MODE)], [N(ESP_TFC_PADDING_NOT_SUPPORTED)], [N(NON_FIRST_FRAGMENTS_ALSO)], SA, TSi, TSr, [N(ADDITIONAL_TS_POSSIBLE)], [V+][N+]

errore nella <-- IDr, [CERT+], creazione AUTH, del Child SA N(error), [V+][N+]

C.3. Scambio IKE_AUTH con EAP

first request --> IDi, [N(INITIAL_CONTACT)], [[N(HTTP_CERT_LOOKUP_SUPPORTED)], CERTREQ+], [IDr], [CP(CFG_REQUEST)], [N(IPCOMP_SUPPORTED)+], [N(USE_TRANSPORT_MODE)], [N(ESP_TFC_PADDING_NOT_SUPPORTED)], [N(NON_FIRST_FRAGMENTS_ALSO)], SA, TSi, TSr, [V+][N+]

first response <-- IDr, [CERT+], AUTH, EAP, [V+][N+]

              / --> EAP

ripetere 1..N volte | \ <-- EAP

last request --> AUTH

last response <-- AUTH, [CP(CFG_REPLY)], [N(IPCOMP_SUPPORTED)], [N(USE_TRANSPORT_MODE)], [N(ESP_TFC_PADDING_NOT_SUPPORTED)], [N(NON_FIRST_FRAGMENTS_ALSO)], SA, TSi, TSr, [N(ADDITIONAL_TS_POSSIBLE)], [V+][N+]

C.4. Scambio CREATE_CHILD_SA per creare o rielaborare le Child SA

request --> [N(REKEY_SA)], [CP(CFG_REQUEST)], [N(IPCOMP_SUPPORTED)+], [N(USE_TRANSPORT_MODE)], [N(ESP_TFC_PADDING_NOT_SUPPORTED)], [N(NON_FIRST_FRAGMENTS_ALSO)], SA, Ni, [KEi], TSi, TSr [V+][N+]

normal <-- [CP(CFG_REPLY)], response [N(IPCOMP_SUPPORTED)], [N(USE_TRANSPORT_MODE)], [N(ESP_TFC_PADDING_NOT_SUPPORTED)], [N(NON_FIRST_FRAGMENTS_ALSO)], SA, Nr, [KEr], TSi, TSr, [N(ADDITIONAL_TS_POSSIBLE)] [V+][N+]

error case <-- N(error)

gruppo Diffie- <-- N(INVALID_KE_PAYLOAD), Hellman diverso [V+][N+] richiesto

C.5. Scambio CREATE_CHILD_SA per rielaborare l'IKE SA

request --> SA, Ni, KEi [V+][N+]

response <-- SA, Nr, KEr [V+][N+]

C.6. Scambio INFORMATIONAL

request --> [N+], [D+], [CP(CFG_REQUEST)]

response <-- [N+], [D+], [CP(CFG_REPLY)]

Indirizzi degli autori

Charlie Kaufman Microsoft 1 Microsoft Way Redmond, WA 98052 US

Phone: 1-425-707-3335 EMail: [email protected]

Paul Hoffman VPN Consortium 127 Segre Place Santa Cruz, CA 95060 US

Phone: 1-831-426-9827 EMail: [email protected]

Yoav Nir Check Point Software Technologies Ltd. 5 Hasolelim St. Tel Aviv 67897 Israel

EMail: [email protected]

Pasi Eronen Independent

EMail: [email protected]