Transportni ili tunelski režim: odlučite po paketu, a ne po dijagramu
Transport i tunel opisuju šta stoji unutar ESP-a, a ne da li je uključen host ili gateway. Tri pitanja određuju koji režim je potreban nekoj implementaciji.
Dijagrami iz udžbenika vezuju transportni režim za dva hosta, a tunelski za dva gatewaya, i to pravilo važi sve do prve implementacije koja ga prekrši. Režim opisuje šta ESP paket obavija, a ne ko su strane. Gateway može zaštititi saobraćaj u transportnom režimu, a par hostova može koristiti tunelski režim ako to odabere. Tri pitanja određuju šta je potrebno konkretnoj implementaciji.
Režim je raspored, a ne topologija
U transportnom režimu ESP zaglavlje ide poslije IP zaglavlja i prije korisnog tereta sljedećeg sloja, pa originalno IP zaglavlje ostaje spolja i vidljivo. U tunelskom režimu zaštićeni sadržaj je cijeli IP paket, a novo vanjsko zaglavlje imenuje dva IPsec partnera.
| Mode | What follows the outer IP header | Headers a capture shows |
|---|---|---|
| Transport | ESP, then the next-layer payload | One IP header |
| Tunnel | ESP, then a whole inner IP packet | Outer and inner headers |
Kada je odabrana povjerljivost, zaštićena oblast u tunelskom režimu uključuje to unutrašnje IP zaglavlje, zbog čega snimak ne može otkriti prave krajnje tačke bez ključeva. Vanjsko zaglavlje ostaje čitljivo u oba slučaja, i to je ono što uopšte omogućava rješavanje problema.
Pitanje prvo: šta je tačno unutar ESP-a
Pogledajte paket koji aplikacija proizvodi i pitajte koja granica ga štiti. Ako je odgovor transportni korisni teret između dvije adrese koje su već ispravne, transportni režim odgovara bez izmišljanja drugog zaglavlja. Ako zaštićeni sadržaj treba vlastite adrese, jer se prave krajnje tačke razlikuju od partnera koji nose saobraćaj, tunelski režim radi posao. Oba slučaja postoje u istoj organizaciji, zbog čega jedna izjava politike rijetko pokriva sve.
Na to pitanje može se odgovoriti iz snimka i tabele ruta. Ne može se odgovoriti iz crteža koji kutije naziva klijentom i serverom. Snimak uzet na bilo kojem partneru pokazuje na koje od dva gledate u roku od nekoliko sekundi.
Pitanje drugo: postoji li tunel već unutra
L2TP je historijski protuprimjer koji to pokazuje. Servis nosi PPP unutar L2TP sesije, a IPsec štiti tu razmjenu; raspored propisuje transportni režim, uz tunelski režim dozvoljen kao opciju. Vidljivi rezultat je tunel na nivou servisa čija vanjska zaštita koristi transportni režim.
Dakle, prisustvo riječi tunel u opisu proizvoda ne govori ništa o režimu sloja ispod njega. Zapišite koje je pitanje to riješilo, jer će sljedeći recenzent pitati isto. Čitajte specifikaciju za tu kombinaciju umjesto da zaključujete iz imena, jer ta navika sprječava većinu rasprava o tome šta proizvod mora podržavati.
Pitanje treće: šta partner zahtijeva
Dva partnera moraju se složiti, a predlog koji nudi jedan režim dok drugi zahtijeva drugi propada tokom pregovora umjesto da tiho degradira. Pitajte vlasnika udaljenog kraja koji režim politika imenuje i provjerite predlog, a ne sažetak dokumentacije.
Mješovita okruženja su uobičajena: jedan gateway prekida sesije transportnog režima za stari proizvod i sesije tunelskog režima za lokacijsku vezu. Režim je po asocijaciji, ne po uređaju. Tražite spisak asocijacija, a ne naziv funkcije, jer naziv putuje brže od konfiguracije.
Čitanje asocijacije koja postoji
Za pregled navedite partnere, režim, selektore i protokol sljedećeg sloja, pa dodajte svako enkapsuliranje oko rezultata. Prevođenje adresa dodaje svoj vanjski pogled i nije režim; prevedeni tok i dalje može biti bilo koji od dva. Spisak je jedini artefakt koji prikazuje asocijaciju onako kako je instalirana, a ne kako je zamišljena.
Završite pitanjem rutiranja i autorizacije, jer ispravan raspored paketa ne govori ništa o tome koje su podmreže dozvoljene ili postoji li povratni put. Oni žive u politici i u tabeli ruta, i nijedno ne mijenja argument o režimu.