java - DTLS 状态共享

Question

我有一个使用 DTLS 与客户端通信的集群
哪些具有某种安全的分布式存储(...)

正如我们所知，DTLS 状态是相当长寿的。因此，在典型的负载均衡场景中，加密数据包将被转发到无法解密的服务器

我指的不是因为 NAT 绑定(bind)改变导致 src ip 改变的情况(这是我们无法控制的事情)

所以我在想...
为了不对负载均衡器造成一些严格的限制(例如:始终将此 src ip 转发到该服务器并希望最好)并尽可能长时间地保存 DTLS 状态 我应该如何使用 DTLS？

是否(甚至)值得考虑使用 DTLS session 参数的一些分布式缓存来扩展一些现有的 DTLS 库(如 scandium )(以便任何节点都能够解密数据包)？

在 JDK 上是否可行>=9(那里很难遵循 ssl 代码...)

Answer 1

这些是带有一些信息碎屑的链接:

https://github.com/eclipse/leshan/wiki/Cluster

https://github.com/eclipse/leshan/wiki/Using-Leshan-server-in-a-cluster

乐山项目是基于Californium和Scandium的，所以集群的问题和你的很相似。但是没有太多信息。

但基本上很难说绝对。这取决于您的用例/集群配置，并意味着一些负载测试。否则，它只是猜测。

to preserve the DTLS state as long as possible

顺便说一句，TLS 1.2 规范说:

An upper limit of 24 hours is suggested for session ID lifetimes, since an attacker who obtains a master_secret may be able to impersonate the compromised party until the corresponding session ID is retired

所以最好选择一些合理的生命周期。