İki host arasında IPsec: qorunmanın başladığı və bitdiyi yer
Bir host cütü seçilmiş axınları şlüz olmadan qoruya bilər. Son nöqtələri, trafiki seçən siyasəti və ayrı qalan icazələri müəyyən edin.
Host cütündə qorunma təhlükəsizlik assosiasiyasının bitdiyi yerdə başlayır və şlüz formalı intuisiyanın ən çox qaçırdığı fakt məhz budur. Tətbiq serveri və onun verilənlər bazası serveri öz söhbətlərini birbaşa qoruya bilər, yolda heç bir uzaqdan giriş konsentratoru olmadan, və qorunma sərhədi o zaman qoruyucu divarda deyil, hər hostun daxilində yerləşir. Bunun verdiyi şey seçilmiş axınlar üçün ucdan uca əhatədir. Vermədiyi şey isə kimin hansı sətri oxuya biləcəyi barədə qərardır.
Sərhəd SA-nın bitdiyi yerdir
RFC 4301 nəqliyyat rejimindəki təhlükəsizlik assosiasiyalarını host cütü arasında ucdan uca qorunma üçün adətən istifadə olunan düzən kimi təsvir edir. Bu iki host açarları saxlayır və hər biri öz paketlərindən hansının assosiasiyaya girdiyini qərarlaşdırır. Şlüz tuneli tamamilə başqa yerdə bitir və hosta əlavə daxili seqment vasitəsilə çatır, bu isə paket səfərinin böyük hissəsində şifrələnsə belə fərqli bir etibar sərhədidir.
Hostdan hosta və nəqliyyat rejimi isə sinonim deyil. İki host aralarında tunel rejimində assosiasiyanı eyni dərəcədə düzgün qura bilər, ona görə əvvəlcə rejimi seçin, sonra son nöqtələri təsvir edin. Hər ikisini dizayn qeydinə həmkar ünvanlarının yanına yazın, çünki yalnız rejimi bilən rəyçi digərini güman edəcək.
SPD qorunmanı, marşrut istiqaməti müəyyən edir
Marşrutlaşdırma cədvəli paketin hara getdiyini cavablandırır. Təhlükəsizlik siyasəti verilənlər bazası seçilmiş trafikin qorunma sərhədini necə keçdiyini cavablandırır və bunu hər istiqamət üçün öz seçiciləri ilə edir. Bu ayrım verilənlər bazasına işləyən marşrutun sorğunun qorunub-qorunmadığı barədə heç nə sübut etməməsinin səbəbidir və qurulmuş danışığın heç nə sübut etməməsinin səbəbidir ki, bu konkret tətbiq ona uyğun gəlibmi. Sayğacları müqayisə etməzdən əvvəl seçiciləri müqayisə edin, çünki sayğaclar yalnız o qədər irəliləyən axınları təsvir edir.
Linuxda ip xfrm policy bu qeydləri istiqaməti, prioriteti, seçicisi və icazə vermə, bloklama və ya tələ əməliyyatı ilə çap edir, ip xfrm state isə yaranan assosiasiyaları və onların sayğaclarını göstərir. İkisini birlikdə oxumaq daha geniş icazə qeydi əvvəl uyğun gəldiyi üçün tuneldən səssizcə yan keçən axını tapmağın yoludur.
Prioritet sırası siyasətin bir hissəsidir, tətbiq detalı deyil. Verilənlər bazası portunu qorumalı olan dar qeyd daha yüksək prioritetli daha geniş qeydə uduzur və nasazlıq siyasətə heç vaxt müraciət edilmədiyi kimi görünür.
Nəqliyyat rejimi IP başlığını deyil, növbəti təbəqəni əhatə edir
| Transport mode | Tunnel mode | |
|---|---|---|
| Original IP header | kept for routing the flow | replaced by an outer header |
| What ESP protects | the carried next-layer payload | the whole inner IP packet |
| Where it terminates | commonly the two hosts | gateway pair, or a host pair |
Nəqliyyat rejimində ESP başlığı IP başlığı ilə yük arasında yerləşir və həmin başlığın ünvan sahələri yoldakı hər cihaz üçün görünən qalır. Ünvanlar sirr deyilsə və yük sirdirsə, bu yaxşıdır. Daxili topologiyanı da gizlətmək lazımdırsa, bu yanlış seçimdir, çünki orijinal başlığı yalnız tunel rejimi yenisinin içinə bükür.
Hər iki rejim növbəti təbəqənin bir neçə protokolunu daşıya bilər və ESP hostun göndərdiyi hər şeyi deyil, seçicinin uyğun gəldiyini qoruyur.
Seçim bağlantıdan dardır
Tək bir assosiasiya bir neçə axın daşıya bilər, ancaq siyasətin seçdiyi axınları. Həmkar identifikatorlarını, mənbə və təyinat ünvanlarını, protokolu və nəzərdə tutduğunuz münasibətin xidmət əhatəsini qeyd edin, sonra uyğun gəlməyən trafikin açıq gedə biləcəyini, qorunmalı olduğunu və ya assosiasiya mövcud olmadıqda atılmalı olduğunu ayrıca qərarlaşdırın. Məhz son qərar sürprizlər yaradır, çünki yanlış mənbə üçün qorunma tələb edən qayda öz idarəetmə girişinizi bir basqınçını blokladığı qədər effektiv bloklaya bilər.
İcraatı dəyişdiyiniz müddətdə təsdiqlənmiş bant xarici yolu saxlayın və ona ehtiyac duymadan əvvəl sınayın, hər iki host əlçatmaz olduqdan sonra deyil.
Maşın kimliyi tətbiq icazəsi deyil
IPsec konfiqurasiya edilmiş həmkarı doğrular və seçilmiş paketləri qoruyur. Bir şəxsin hansı verilənlər bazası qeydini redaktə edə biləcəyini qərarlaşdırmır və etibarlı server kimliyini bütün tətbiq imtiyazlarının verilməsinə çevirmir. Tətbiq hesabları, rolları və avtorizasiyası tam olduğu yerdə qalır və tətbiq səviyyəsində TLS tələbi şəbəkə yolu artıq qorunduğu halda belə öz məqsədini saxlayır.
Dizaynı nəzərdə tutulan mənbədən bir əməliyyat və rədd edilməli olan bir əməliyyatla qəbul edin və tələb olunan assosiasiya qurula bilmədikdə nə baş verdiyini də əlavə edin. Adi əlçatanlıq testi sizə paketlərin hərəkət etdiyini deyir; yazdığınız siyasət altında hərəkət etdiklərini demir.