Transportní nebo tunelový režim: rozhodujte podle paketu, ne podle schématu
Transport a tunel popisují, co je uvnitř ESP, ne jestli je zapojen host nebo brána. Který režim nasazení potřebuje, určí tři otázky.
Učebnicová schémata spojují transportní režim se dvěma hosty a tunelový režim se dvěma branami, a toto pravidlo vydrží až do prvního nasazení, které ho poruší. Režim popisuje, co ESP paket obaluje, ne kdo jsou protistrany. Brána může chránit provoz v transportním režimu a dvojice hostů může použít tunelový režim, pokud se tak rozhodne. Co konkrétní nasazení potřebuje, určí tři otázky.
Režim je uspořádání, ne topologie
V transportním režimu jde hlavička ESP za hlavičkou IP a před užitečným zatížením další vrstvy, takže původní hlavička IP zůstává venku a viditelná. V tunelovém režimu je chráněný obsah celý paket IP a nová vnější hlavička pojmenovává oba účastníky IPsec.
| Mode | What follows the outer IP header | Headers a capture shows |
|---|---|---|
| Transport | ESP, then the next-layer payload | One IP header |
| Tunnel | ESP, then a whole inner IP packet | Outer and inner headers |
Při zvolené důvěrnosti chráněná oblast v tunelovém režimu zahrnuje i tuto vnitřní hlavičku IP, a proto odposlech bez klíčů nemůže prozradit skutečné koncové body. Vnější hlavička zůstává čitelná v obou případech, a právě to vůbec umožňuje řešení problémů.
První otázka: co přesně je uvnitř ESP
Podívejte se na paket, který aplikace vytváří, a ptejte se, která hranice ho chrání. Pokud je odpovědí transportní užitečné zatížení mezi dvěma adresami, které už jsou správné, transportní režim se hodí, aniž by vymýšlel druhou hlavičku. Pokud chráněný obsah potřebuje vlastní adresy, protože skutečné koncové body se liší od protistran, které provoz nesou, práci udělá tunelový režim. Oba případy existují ve stejné organizaci, a proto jeden politický dokument zřídka pokryje všechno.
Na tuto otázku lze odpovědět ze záznamu provozu a ze směrovací tabulky. Nelze na ni odpovědět z nákresu, který krabice označuje jako klienta a server. Záznam pořízený u kterékoli protistrany během sekund ukáže, na kterou ze dvou se díváte.
Druhá otázka: je už tunel uvnitř
L2TP je historický protipříklad, který to ukazuje. Služba přenáší PPP uvnitř relace L2TP a IPsec tento výměnný tok chrání; uspořádání předepisuje transportní režim, přičemž tunelový režim je povolen jako volba. Viditelným výsledkem je tunel na úrovni služby, jehož vnější ochrana používá transportní režim.
Přítomnost slova tunel v popisu produktu tedy neříká nic o režimu vrstvy pod ním. Zapište, která otázka to vyřešila, protože příští recenzent se zeptá na totéž. Čtěte specifikaci pro tuto kombinaci, místo abyste uvažovali z názvu, protože tento zvyk zabrání většině sporů o to, co má produkt podporovat.
Třetí otázka: co vyžaduje protistrana
Dvě protistrany se musí shodnout, a návrh, který nabízí jeden režim, zatímco druhá strana vyžaduje druhý, selže při vyjednávání, místo aby tiše degradoval. Zeptejte se vlastníka vzdáleného konce, který režim politika uvádí, a zkontrolujte návrh, ne shrnutí dokumentace.
Smíšená prostředí jsou běžná: jedna brána ukončuje relace v transportním režimu pro starší produkt a relace v tunelovém režimu pro spojení lokalit. Režim je pro každou asociaci, ne pro zařízení. Žádejte výpis asociací, ne název funkce, protože název cestuje rychleji než konfigurace.
Čtení existující asociace
Pro recenzi vypište protistrany, režim, selektory a protokol další vrstvy a pak přidejte jakékoli zapouzdření obalené kolem výsledku. Překlad adres přidává svůj vlastní vnější pohled a není režimem; přeložený tok může být stále kterýkoli z obou. Výpis je jediný artefakt, který ukazuje asociaci tak, jak je nainstalovaná, ne jak je zamýšlená.
Skončete otázkou směrování a autorizace, protože správné uspořádání paketu neříká nic o tom, které podsítě jsou povoleny nebo zda existuje cesta zpět. Ty žijí v politice a ve směrovací tabulce a ani jedno nemění argument o režimu.