Nəqliyyat və ya tunel rejimi: qərarı diaqramla deyil, paketlə verin
Nəqliyyat və tunel ESP-nin içində nə olduğunu təsvir edir, hostun və ya şlüzün iştirak edib-etmədiyini deyil. Üç sual yerləşdirmənin hansı rejimə ehtiyacı olduğunu müəyyən edir.
Dərslik diaqramları nəqliyyat rejimini iki hostla, tunel rejimini isə iki şlüzlə uyğunlaşdırır və bu qayda onu pozan ilk yerləşdirməyə qədər qüvvədə qalır. Rejim ESP paketinin nəyi bürüdüyünü təsvir edir, tərəflərin kim olduğunu deyil. Şlüz nəqliyyat rejimində trafiki qoruya bilər, iki host isə istəsə tunel rejimindən istifadə edə bilər. Üç sual konkret yerləşdirmənin nəyə ehtiyacı olduğunu həll edir.
Rejim topologiya deyil, düzülüşdür
Nəqliyyat rejimində ESP başlığı IP başlığından sonra və növbəti qatın yükündən əvvəl gəlir, ona görə ilkin IP başlığı kənarda və görünən qalır. Tunel rejimində qorunan məzmun tam bir IP paketidir və yeni xarici başlıq iki IPsec tərəfini adlandırır.
| Mode | What follows the outer IP header | Headers a capture shows |
|---|---|---|
| Transport | ESP, then the next-layer payload | One IP header |
| Tunnel | ESP, then a whole inner IP packet | Outer and inner headers |
Məxfilik seçildikdə tunel rejimində qorunan sahəyə həmin daxili IP başlığı da daxildir, buna görə heç bir tutma açarlar olmadan sizə əsl son nöqtələri deyə bilməz. Xarici başlıq hər iki halda oxunaqlı qalır və nasazlıqların aradan qaldırılmasını ümumiyyətlə mümkün edən də budur.
Birinci sual: ESP-nin içində tam olaraq nə var
Tətbiqin yaratdığı paketə baxın və hansı sərhədin onu qoruduğunu soruşun. Cavab artıq düzgün olan iki ünvan arasındakı nəqliyyat yüküdürsə, nəqliyyat rejimi ikinci başlıq uydurmadan uyğun gəlir. Qorunan məzmunun öz ünvanlarına ehtiyacı varsa, çünki əsl son nöqtələr trafiki daşıyan tərəflərdən fərqlənir, işi tunel rejimi görür. Hər iki hal eyni təşkilatda mövcuddur, buna görə bir siyasət bəyanatı nadir hallarda hər şeyi əhatə edir.
Bu suala tutmadan və marşrut cədvəlindən cavab vermək olar. Qutuları müştəri və server kimi adlandıran rəsmdən isə cavab vermək olmaz. Tərəflərdən birində götürülmüş tutma saniyələr içində ikisindən hansına baxdığınızı göstərir.
İkinci sual: içəridə artıq tunel varmı
L2TP fikri aydınlaşdıran tarixi əks nümunədir. Xidmət PPP-ni L2TP sessiyası içində daşıyır və IPsec həmin mübadiləni qoruyur; quruluş nəqliyyat rejimini göstərir, tunel rejiminə isə seçim kimi icazə verilir. Görünən nəticə xidmət səviyyəsində tuneldir və onun xarici qoruması nəqliyyat rejimindən istifadə edir.
Deməli, məhsul təsvirində tunel sözünün olması onun altındakı qatın rejimi haqqında heç nə demir. Hansı sualın bunu həll etdiyini qeyd edin, çünki növbəti rəyçi də eyni şeyi soruşacaq. Adından nəticə çıxarmaq əvəzinə həmin birləşmənin spesifikasiyasını oxuyun, çünki bu vərdiş məhsulun nəyi dəstəkləməli olduğu ilə bağlı mübahisələrin çoxunu qabaqlayır.
Üçüncü sual: tərəf nə tələb edir
İki tərəf razılaşmalıdır və bir rejim təklif edib digəri ikinci rejimi tələb edən təklif səssizcə pisləşmək əvəzinə danışıqlar zamanı uğursuz olur. Uzaq ucun sahibindən siyasətin hansı rejimi adlandırdığını soruşun və sənədləşmə xülasəsini deyil, təklifi yoxlayın.
Qarışıq mühitlər adi haldır: bir şlüz köhnə məhsul üçün nəqliyyat rejimli sessiyaları, sayt bağlantısı üçün isə tunel rejimli sessiyaları sonlandırır. Rejim cihaza görə deyil, hər assosiasiyaya görədir. Funksiyanın adını deyil, assosiasiyaların siyahısını istəyin, çünki ad konfiqurasiyadan sürətli səyahət edir.
Mövcud assosiasiyanı oxumaq
Baxış üçün tərəfləri, rejimi, seçiciləri və növbəti qat protokolunu sadalayın, sonra nəticənin ətrafına sarılmış istənilən inkapsulyasiyanı əlavə edin. Ünvan çevrilməsi öz xarici görünüşünü əlavə edir və rejim deyil; çevrilmiş axın yenə də ikisindən biri ola bilər. Siyahı assosiasiyanı nəzərdə tutulduğu kimi deyil, quraşdırıldığı kimi göstərən yeganə artefaktdır.
Marşrutlaşdırma və icazə sualı ilə bitirin, çünki düzgün paket düzülüşü hansı alt şəbəkələrə icazə verildiyini və ya cavab yolunun olub-olmadığını sizə demir. Bunlar siyasətdə və marşrut cədvəlində yaşayır və heç biri rejimlə bağlı arqumenti dəyişmir.