Benoem die modus voordat jy twee VPN-pakkaatdiagramme vergelyk

Twee diagramme kan albei korrek wees en tog anders lyk, want hulle beskryf dalk verskillende pakkette. ’n Onderhandelingsboodskap en ’n toepassingsdata-pakket deel nie dieselfde uitleg nie, selfs binne een sessie, en vervoermodus en tonnelmodus ook nie. Om tekeninge te vergelyk sonder om te sê watter pakket en watter modus elkeen voorstel, lewer ’n argument oor kopskrifte wat nooit veronderstel was om te pas nie. Vier etikette beslis dit voordat die vergelyking begin.

Skryf die implementering en modus, die kanaal, die buitenste vervoer en die gedraagde vrag langs elke tekening.

Vervoermodus en tonnelmodus skuif die kopskrif anders

In vervoermodus sit ESP ná die IP-kopskrif en voor die gedraagde protokol, so die oorspronklike IP-kopskrif bly buite die beskerming. In tonnelmodus adresseer ’n nuwe buitenste IP-kopskrif die twee IPsec-eweknieë en die beskermde binnepakket behou sy eie IP-kopskrif. Albei word deur RFC 4303 gedefinieer en albei is korrek vir hul modus. ’n Vereenvoudigde skets wat die nasleep en integriteitsvelde weglaat, is goed vir plasing en nutteloos vir grepe tel.

Vervoer beteken nie spesifiek TCP of UDP nie. Die gedraagde volgende-laag-protokol kan enigiets wees, en ’n diagram wat vervoermodus met een protokol gelykstel, het stilweg ’n aanname bygevoeg.

Beheerboodskappe is nie databoodskappe nie

L2TP hou twee soorte boodskappe apart: databoodskappe wat PPP-raamwerke dra, en beheerboodskappe wat die tonnel en sy oproepe opstel, onderhou en afbreek. Die beheerkanaal is betroubaar, terwyl verlore databoodskappe eenvoudig nie deur L2TP herversend word nie. ’n Tekening met PPP kan dus die vrag beskryf wat ’n databoodskap dra, nie ’n kopskrif wat elke beskermde sessie moet insluit nie. Om L2TP met beskerming te kombineer, voeg die gekose sekuriteitsreëling bo-op en maak nie elke boodskap identies nie.

As ’n diagram beweer albei soorte boodskappe lyk dieselfde, beskryf dit ’n ander protokol of ’n ander omvang.

Vergelyk ekwivalente vasvangpunte

’n Vasvang op die buitenste koppelvlak wys die beskermings- en vervoerkopskrifte; ’n binneste vasvang, geneem ná dekapsulering, wys die gedraagde pakket. Nie een is verkeerd nie, en om die een teen die ander te vergelyk laat kopskrifte ontbreek of dupliseer lyk. UDP-inkapseling, soos gedefinieer vir NAT-traversering, voeg nog ’n buitenste laag by wat ’n tekening van inheemse ESP nie sal hê nie. Albei tekeninge kan geldige beskrywings van verskillende vervoerreëlings wees.

Noem die vasvangpunt saam met die diagram, en vergelyk ekwivalente boodskappe in ekwivalente modusse. ’n Ontbrekende kopskrif is eers ’n bewys van ’n fout wanneer albei tekeninge dieselfde punt en dieselfde pakketsoort voorstel.

Hou die etikette by die tekening

’n Diagram sonder etikette verouder sleg, want die volgende leser vul sy eie aannames in. Voeg die vier etikette by, merk die beskermingsgrens, en let op of die tekening vir plasing of vir groottebepaling is. As dit vir groottebepaling is, gebruik die volledige spesifikasie eerder as ’n skets. Die koste van die etikette is ’n minuut; die koste van die argument wat hulle voorkom, is ’n middag.

Wanneer twee dokumente verskil, vergelyk eers hul etikette. ’n Verskil op die modus- of kanaalvlak verklaar die verskil heeltemal, en geen kopskrif ontbreek werklik nie.

Teken aan watter pakket, watter modus en watter vasvangpunt die tekening wys. Daardie aantekening is die diagram se ander helfte.