...

Målgruppen för denna information är förlitande parter, ansvariga utgivare och it-organisationer där i synnerhet ansvariga för nätverk och brandväggar inom respektive organisation.

Det här behöver din organisation göra

...

I och med lanseringen av nya spärrtjänsten kommer följande infrastruktur funktioner inom SITHS certifikatutfärdare att byta IP-adresser:

1. Spärrlistor (CRL)

   1. Används för att kontrollera om certifikat är spärrade eller ej mot en lista som innehåller alla spärrade certifikat

2. Online certifikatstatus protokoll (OCSP)

3. Länkar för att automatiskt bygga tillit till certifkatkedjan (AIA)

   1. Används främst av Microsoft-system

Detta innebär att system som idag använder något av:

...

Expandera
title INNAN flytten gäller följande logik för DNS-uppslag och routing:
Innan flytt Organisationens tjänster slår upp ovan funktioners DNS-värden och får olika IP-adresser beroende på om man ställer sin DNS-fråga över Internet eller Sjunet. Ställer man DNS-frågan över Internet får man en Internet IP-adress. Ställer man DNS-frågan över Sjunet får man en Sjunet IP-adress. Exempel på Sjunet-adress: är “crl2.siths.sjunet.org”. 2. Beroende på vilken IP-adress man får enligt ovan tar nätverkstrafiken olika vägar antingen Internet IP-adress --> Trafiken går över Internet Sjunet IP-adress --> Trafiken går över Sjunet. 3. Beroende på vilket nätverk trafiken tar enligt ovan måste organisationen se till att trafiken Source-NAT:as bakom en IP-adress som SITHS-tjänsten förknippar med samma nätverk. Detta för att förhindra asynkron routing. Om trafiken går över Internet måste trafiken Source NAT:as bakom en Internet IP-adress Om trafiken går över Sjunet måste trafiken Source NAT:as bakom en Sjunet IP-adress Exempel på fel som kan uppstå: Organisationen skickar trafiken via Sjunet, MEN med en Source-IP som pekar på Internet. Vilket gör att SITHS försöker skicka tillbaka anropet via Internet och svaret når aldrig frågande part. 4. Brandväggsöppningar måste finnas i rätt brandvägg beroende på vilken väg trafiken tar enligt ovan logik för de Gamla IP-adresserna i listan över Brandväggsöppningar

Expandera
title EFTER flytten gäller följande logik för DNS-uppslag och routing
Efter flytt Organisationens tjänster slår upp ovan funktioners DNS-värden och får SAMMA IP-adresser oavsett om man ställer sin DNS-fråga över Internet eller Sjunet Respektive IP-adress går att nå BÅDE via Internet och Sjunet Organisationen måste bestämma OM man vill att trafiken ska gå över Internet eller Sjunet Observera! För organisationer med Sjunetuppkoppling - Det IP-spann som används har tidigare kommunicerats som att det ska trafikeras över Sjunet. Därav måste organisationen med största sannolikhet se till att IP-spannet 82.136.183.0/24 routas över Internet om man INTE villa att trafiken ska gå över Sjunet. 4. Beroende på vilket nätverk trafiken tar enligt ovan beslut måste organisationen se till att trafiken Source-NAT:as bakom en IP-adress som SITHS-tjänsten förknippar med samma nätverk. Detta för att förhindra asynkron routing. Om trafiken går över Internet måste trafiken Source NAT:as bakom en Internet IP-adress Om trafiken går över Sjunet måste trafiken Source NAT:as bakom en Sjunet IP-adress Exempel på fel som kan uppstå: Organisationen skickar trafiken via Sjunet, MEN med en Source-IP som pekar på Internet. Vilket gör att SITHS försöker skicka tillbaka anropet via Internet och svaret når aldrig frågande part. 5. Brandväggsöppningar måste finnas i rätt brandvägg beroende på vilken väg trafiken tar enligt ovan logik för de Nya IP-adresserna i listan över Brandväggsöppningar Tester Routing Från den server, klientdator etc. som vill kontrollera ett SITHS-certifikat mha. ovan funktioner kan man göra en trace route för att följa trafiken på väg mot målet Tecken på att trafiken går över Internet Näst sista IP-adressen är: 194.168.212.13 Tecken på att trafiken går över Sjunet Näst sista IP-adressen är: 81.89.159.168 Åtkomst och Source-NAT Info Arbete pågår för att sätta upp funktioner för end-to-end tester till maskiner hos den nya driftleverantören som följer samma trafikmönster som de riktiga funktionerna.

...