Dead peer detection
Cet article est une ébauche concernant la sécurité informatique.
Vous pouvez partager vos connaissances en l’améliorant (comment ?) selon les recommandations des projets correspondants.
Consultez la liste des tâches à accomplir en page de discussion.
Pour les articles homonymes, voir DPD.
Le Dead Peer Detection (DPD) est un mécanisme utilisé par des concentrateurs VPN IPSec pour détecter la perte de leur pair. Le Dead Peer Detection est décrit dans la RFC 3706.
Description du DPD[modifier | modifier le code]
Principe[modifier | modifier le code]
Le DPD s'appuie sur un mécanisme de type keepalive. C'est le pair qui souhaite vérifier la disponibilité qui émet la demande :
| Pair A | Pair B | |
|---|---|---|
| Initialisation du DPD | ⇔ | Initialisation du DPD |
| Test du pair B | ⇒ | |
| ⇐ | Réponse du pair B |
Le pair A attend la réponse un temps t avant de tenter n-1 réémissions. Le temps t et le nombre de tentatives n sont dépendants de l'implémentation et peuvent être configurables. Au bout de n tentatives pour lesquelles le pair A n'a pas reçu de réponse dans le temps t imparti, il considère le pair B comme injoignable.
Description des messages émis[modifier | modifier le code]
Cette description s'appuie sur la RFC 3706 et non sur ses implémentations.
Initialisation[modifier | modifier le code]
Les deux pairs doivent envoyer leur Vendor ID (VID) afin de se déclarer aptes au DPD.
Question/Réponse (Hello/Ack)[modifier | modifier le code]
Le pair A envoie une demande au pair B. Il s'agit d'un message IsaKMP NOTIFY "R-U-THERE". Le pair B doit répondre par un message IsaKMP NOTIFY "R-U-THERE-ACK".
Ces deux messages portent le même numéro de séquence.
Voir aussi[modifier | modifier le code]
Articles connexes[modifier | modifier le code]
- Couche liaison de données (couche de protocole n°2 du modèle OSI).
- VPN Virtual Private Network (VPN)
- IPSec, IKE et IsaKMP
- (en)Le Dead Peer Detection sur le Wikipédia anglais
Liens externes[modifier | modifier le code]
- (en)RFC 3706
- L'utilisation du DPD
- (en)Le DPD sur les équipements Cisco Systems
- Le DPD sur les équipements Checkpoint : d'après la (en)note SK15362, Checkpoint ne semble pas utiliser le DPD
- Le DPD sur les équipements Stonesoft : décrit dans la note 43633 (visibilité : PARTNER, non accessible au public)
- (fr)Le DPD sur les équipements NetASQ
