Transport- of tonnelmodus: besluit op grond van die pakket, nie die diagram nie

Handboekdiagramme pas transportmodus by twee gashere en tonnelmodus by twee poorte, en hierdie reël hou stand tot by die eerste ontplooiing wat dit verbreek. Die modus beskryf wat die ESP-pakket omhul, nie wie die eweknieë is nie. ’n Poort kan verkeer in transportmodus beskerm, en twee gashere kan tonnelmodus gebruik as hulle dit verkies. Drie vrae bepaal wat ’n spesifieke ontplooiing nodig het.

Die modus is ’n uitleg, nie ’n topologie nie

In transportmodus kom die ESP-opskrif ná die IP-opskrif en voor die lading van die volgende laag, so die oorspronklike IP-opskrif bly buite en sigbaar. In tonnelmodus is die beskermde inhoud ’n volledige IP-pakket, en ’n nuwe buitenste opskrif noem die twee IPsec-eweknieë.

Met vertroulikheid gekies, sluit die beskermde gebied in tonnelmodus daardie binneste IP-opskrif in, en daarom kan ’n opname nie die werklike eindpunte sonder sleutels aandui nie. Die buitenste opskrif bly in elk geval leesbaar, en dit is wat foutsporing hoegenaamd moontlik maak.

Vraag een: wat presies is binne die ESP

Kyk na die pakket wat die toepassing produseer en vra watter grens dit beskerm. As die antwoord die transportlading tussen twee adresse is wat reeds korrek is, pas transportmodus sonder om ’n tweede opskrif te skep. As die beskermde inhoud sy eie adresse nodig het, omdat die werklike eindpunte verskil van die eweknieë wat die verkeer dra, doen tonnelmodus die werk. Albei gevalle bestaan in dieselfde organisasie, en daarom dek een beleidsverklaring selde alles.

Daardie vraag is beantwoordbaar uit ’n opname en ’n roetertabel. Dit is nie beantwoordbaar uit ’n tekening wat blokkies as kliënt en bediener benoem nie. ’n Opname by een van die eweknieë wys binne sekondes watter van die twee jy sien.

Vraag twee: is daar reeds ’n tonnel binne

L2TP is die historiese teenvoorbeeld wat die punt maak. Die diens dra PPP binne ’n L2TP-sessie, en IPsec beskerm daardie uitruiling; die reëling spesifiseer transportmodus, met tonnelmodus as opsie toegelaat. Die sigbare resultaat is ’n tonnel op diensvlak waarvan die buitenste beskerming transportmodus gebruik.

Dus sê die woord tonnel in ’n produkbeskrywing niks oor die modus van die laag daaronder nie. Teken aan watter vraag dit beslis het, want die volgende keurder sal dieselfde vra. Lees die spesifikasie vir daardie kombinasie eerder as om uit die naam te redeneer, want daardie gewoonte voorkom die meeste argumente oor wat ’n produk moet ondersteun.

Vraag drie: wat vereis die eweknie

Twee eweknieë moet saamstem, en ’n voorstel wat een modus bied terwyl die ander die tweede vereis, misluk tydens onderhandeling eerder as om stilweg te verswak. Vra die eienaar van die verre punt watter modus die beleid noem, en kyk na die voorstel eerder as die dokumentasieopsomming.

Gemengde landskappe is algemeen: een poort beëindig transportmodussessies vir ’n ou produk en tonnelmodussessies vir ’n werfskakel. Die modus is per assosiasie, nie per toestel nie. Vra vir die assosiasieverslag eerder as die kenmerkenaam, want die naam reis vinniger as die konfigurasie.

Lees die assosiasie wat bestaan

Vir ’n hersiening, lys die eweknieë, die modus, die keurders en die volgende-laag-protokol, en voeg dan enige inkapseling om die resultaat by. Adresvertaling voeg sy eie buitenste siening by en is nie ’n modus nie; ’n vertaalde stroom kan steeds enige van die twee wees. Die lys is die enigste artefak wat die assosiasie wys soos geïnstalleer eerder as soos bedoel.

Sluit af met die roetering- en magtigingsvraag, want ’n korrekte pakketuitleg sê niks oor watter subnetwerke toegelaat word of of die antwoordpad bestaan nie. Dié leef in beleid en in die roetertabel, en nie een verander die argument oor modus nie.