Транспортен или тунелен режим: решението зависи от пакета, не от схемата
Транспортният и тунелният режим описват какво стои вътре в ESP, а не дали участва хост или шлюз. Три въпроса решават кой режим е нужен на дадено внедряване.
Схемите от учебниците свързват транспортния режим с два хоста, а тунелния — с два шлюза, и това правило се държи до първото внедряване, което го наруши. Режимът описва какво обвива ESP пакетът, а не кои са страните. Шлюз може да защитава трафик в транспортен режим, а два хоста могат да използват тунелен режим, ако решат. Три въпроса решават какво е нужно на конкретно внедряване.
Режимът е подредба, не топология
В транспортния режим заглавието ESP върви след IP заглавието и преди полезния товар на следващия слой, така че оригиналното IP заглавие остава отвън и видимо. В тунелния режим защитеното съдържание е цял IP пакет, а ново външно заглавие именува двата IPsec участника.
| Mode | What follows the outer IP header | Headers a capture shows |
|---|---|---|
| Transport | ESP, then the next-layer payload | One IP header |
| Tunnel | ESP, then a whole inner IP packet | Outer and inner headers |
При избрана поверителност защитената област в тунелен режим включва това вътрешно IP заглавие, затова прихващането не може да ви каже истинските крайни точки без ключове. Външното заглавие остава четимо и в двата случая и точно това прави отстраняването на проблеми възможно изобщо.
Първи въпрос: какво точно има вътре в ESP
Погледнете пакета, който приложението създава, и попитайте коя граница го защитава. Ако отговорът е полезният товар на транспорта между два адреса, които вече са правилни, транспортният режим пасва без измисляне на второ заглавие. Ако защитеното съдържание се нуждае от собствени адреси, защото истинските крайни точки се различават от участниците, които носят трафика, работата я върши тунелният режим. И двата случая съществуват в една и съща организация, затова едно изявление за политика рядко покрива всичко.
На този въпрос може да се отговори от прихващане и таблица за маршрутизация. Не може да се отговори от чертеж, който обозначава блокове като клиент и сървър. Прихващане, направено при който и да е участник, показва кой от двата гледате за секунди.
Втори въпрос: има ли вече тунел отвътре
L2TP е историческият контрапример, който илюстрира тезата. Услугата пренася PPP вътре в L2TP сесия, а IPsec защитава тази размяна; схемата определя транспортен режим, като тунелният режим е разрешен като опция. Видимият резултат е тунел на ниво услуга, чиято външна защита използва транспортен режим.
Следователно наличието на думата тунел в описание на продукт не казва нищо за режима на слоя под него. Запишете кой въпрос е решил въпроса, защото следващият рецензент ще попита същото. Четете спецификацията за тази комбинация, вместо да разсъждавате от името, защото този навик предотвратява повечето спорове за това какво трябва да поддържа продуктът.
Трети въпрос: какво изисква партньорът
Двама партньори трябва да се съгласят, а предложение, което предлага един режим, докато другият изисква втория, се проваля при преговорите, вместо да деградира тихо. Попитайте собственика на далечния край кой режим посочва политиката и проверете предложението, а не резюмето на документацията.
Смесените среди са обичайни: един шлюз прекратява сесии в транспортен режим за стар продукт и сесии в тунелен режим за връзка между обекти. Режимът е за всяка асоциация, не за устройство. Искайте списъка с асоциации, а не името на функцията, защото името пътува по-бързо от конфигурацията.
Четене на съществуващата асоциация
За преглед избройте партньорите, режима, селекторите и протокола на следващия слой, после добавете всяко инкапсулиране, обвито около резултата. Транслацията на адреси добавя свой външен изглед и не е режим; транслационният поток все още може да бъде всеки от двата. Списъкът е единственият артефакт, който показва асоциацията както е инсталирана, а не както е предвидена.
Завършете с въпроса за маршрутизацията и оторизацията, защото правилната подредба на пакета не ви казва нищо за това кои подмрежи са разрешени или дали съществува обратен път. Те живеят в политиката и в таблицата за маршрути, и нито едно от двете не променя аргумента за режима.