Транспартны ці тунельны рэжым: рашэнне па пакеце, а не па схеме
Транспартны і тунельны рэжым апісваюць тое, што знаходзіцца ўнутры ESP, а не тое, ці ўдзельнічаюць хост або шлюз. Тры пытанні вызначаюць, які рэжым патрэбны ўкараненню.
Схемы ў падручніках звязваюць транспартны рэжым з двума хостамі, а тунельны — з двума шлюзамі, і гэтае правіла трымаецца да першага ўкаранення, якое яго парушае. Рэжым апісвае, што ахутвае пакет ESP, а не хто з’яўляецца бакамі. Шлюз можа абараняць трафік у транспартным рэжыме, а пара хостаў можа выкарыстоўваць тунельны рэжым, калі захоча. Тры пытанні вызначаюць, што патрэбна канкрэтнаму ўкараненню.
Рэжым — гэта кампаноўка, а не тапалогія
У транспартным рэжыме загаловак ESP ідзе пасля загалоўка IP і перад карыснай нагрузкай наступнага ўзроўню, таму першапачатковы загаловак IP застаецца звонку і бачным. У тунельным рэжыме абаронены змест — гэта поўны пакет IP, а новы знешні загаловак называе двух удзельнікаў IPsec.
| Mode | What follows the outer IP header | Headers a capture shows |
|---|---|---|
| Transport | ESP, then the next-layer payload | One IP header |
| Tunnel | ESP, then a whole inner IP packet | Outer and inner headers |
Калі выбрана канфідэнцыйнасць, абароненая вобласць у тунельным рэжыме ўключае гэты ўнутраны загаловак IP, таму здымак не можа паведаміць сапраўдныя канчатковыя пункты без ключоў. Знешні загаловак застаецца чытэльным у абодвух выпадках, і менавіта гэта робіць пошук неспраўнасцей наогул магчымым.
Пытанне першае: што менавіта ўнутры ESP
Паглядзіце на пакет, які стварае праграма, і спытайце, якая мяжа яго абараняе. Калі адказ — карысная нагрузка транспарту паміж двума адрасамі, якія ўжо правільныя, транспартны рэжым падыходзіць без выдумвання другога загалоўка. Калі абаронены змест патрабуе ўласных адрасоў, бо сапраўдныя канчатковыя пункты адрозніваюцца ад бакоў, што перадаюць трафік, справу робіць тунельны рэжым. Абодва выпадкі існуюць у адной арганізацыі, таму адзін палітычны сказ рэдка ахоплівае ўсё.
На гэтае пытанне можна адказаць па здымку і табліцы маршрутызацыі. На яго нельга адказаць па схеме, якая падпісвае блокі як кліент і сервер. Здымак, зроблены ў любым баку, паказвае, на які з двух вы глядзіце, за секунды.
Пытанне другое: ці ёсць унутры ўжо тунель
L2TP — гэта гістарычны контрпрыклад, які ілюструе думку. Сэрвіс перадае PPP унутры сесіі L2TP, а IPsec абараняе гэты абмен; схема прадпісвае транспартны рэжым, а тунельны дапускаецца як опцыя. Бачны вынік — тунель на ўзроўні сэрвісу, знешняя абарона якога выкарыстоўвае транспартны рэжым.
Такім чынам, наяўнасць слова «тунель» у апісанні прадукту нічога не кажа пра рэжым узроўню пад ім. Запішыце, якое пытанне гэта вырашыла, бо наступны рэцэнзент спытае тое ж самае. Чытайце спецыфікацыю для гэтай камбінацыі замест таго, каб разважаць ад назвы, бо гэтая звычка прадухіляе большасць спрэчак пра тое, што прадукт павінен падтрымліваць.
Пытанне трэцяе: чаго патрабуе партнёр
Два бакі павінны дамовіцца, а прапанова, што змяшчае адзін рэжым, у той час як процілеглы бок патрабуе другі, правальваецца падчас перамоваў, а не дэградуе ціха. Спытайце ўладальніка далёкага боку, які рэжым называе палітыка, і праверце прапанову, а не кароткае выкладанне дакументацыі.
Змешаныя асяроддзі звычайныя: адзін шлюз завяршае сесіі транспартнага рэжыму для старога прадукту і сесіі тунельнага рэжыму для сувязі паміж пляцоўкамі. Рэжым — для кожнай асацыяцыі, а не для прылады. Прасіце спіс асацыяцый, а не назву функцыі, бо назва падарожнічае хутчэй за канфігурацыю.
Чытанне існуючай асацыяцыі
Для агляду пералічыце бакі, рэжым, селектары і пратакол наступнага ўзроўню, затым дадайце любое інкапсуляванне вакол выніку. Трансляцыя адрасоў дадае свой знешні выгляд і не з’яўляецца рэжымам; трансляваны паток усё яшчэ можа быць любым з двух. Спіс — адзіны артэфакт, які паказвае асацыяцыю ўсталяванай, а не задуманай.
Скончыце пытаннем маршрутызацыі і аўтарызацыі, бо правільная кампаноўка пакета нічога не кажа пра тое, якія падсеткі дазволеныя ці ці існуе шлях адказу. Яны жывуць у палітыцы і ў табліцы маршрутаў, і ні адзін з іх не змяняе спрэчкі пра рэжым.