AH neu ESP? Penderfynwch yn ôl yr hyn y mae’r pecyn yn gorfod ei warchod

Gall dau gynnig IPsec enwi yr un algorithm cyfanrwydd sy’n seiliedig ar SHA ac eto gofyn am brotocolau gwarchod gwahanol; nid yw AH ac ESP yn ddau sillafiad o un gosodiad dilysu. Darllenwch y protokol yn gyntaf, yna ei algorithmau, yna ei fodd, ac mae’r rhan fwyaf o’r amwysedd yn diflannu. Mae AH yn dilysu’r pecyn gan gynnwys y meysydd pennawd IP sy’n aros yn ddigyfnewid ar hyd y daith, tra mae ESP yn dilysu ac yn amgryptio’r hyn y mae’n ei amgapslu ac yn gadael y pennawd allanol yn llonydd. Y gwahaniaeth hwnnw sy’n penderfynu mwy o ddefnyddiadau na pha enw hash bynnag.

Yr hyn y mae AH yn ei orchuddio nad yw ESP

Mae AH yn rhoi cyfanrwydd, dilysu tarddiad data a’r gwasanaeth gwrth-ailchwarae y mae’n ei ddiffinio, ac nid oes unrhyw gyfrinachedd. Mae ei gynhwysiad yn cynnwys data’r haen uchaf a meysydd y pennawd IP y mae ei reolau’n eu hystyried yn annewidiol, sef yn union y rhan y mae ESP yn y modd cludo yn ei gadael y tu allan. Pan fo gofyniad yn dweud bod yn rhaid dilysu’r pennawd IP ei hun, AH yw’r protokol sy’n ateb hynny.

Y cynhwysiad hwnnw hefyd yw’r rheswm bod AH yn fregus yn y maes. Ni ellir dilysu meysydd cyfnewidiol fel TTL, swm gwirio’r pennawd a rhai opsiynau, oherwydd gall llwybryddion eu hailysgrifennu, felly mae’r protokol yn eu sero cyn cyfrifo’r gwiriad. Mae unrhyw beth sy’n ailysgrifennu cyfeiriadau felly’n torri’r cyfrifiad, nid y polisi yn unig.

Mae NAT yn troi’r dewis yn gyfyngiad

Mae cyfieithu cyfeiriadau yn ailysgrifennu’r ffynhonnell neu’r gyrchfan yn y pennawd IP y mae AH newydd ei ddilysu, felly mae’r gwiriad cyfanrwydd yn methu ar yr ochr bell, ac mae’n methu fel gwall protokol yn hytrach na neges y gellir ei darllen. Nid yw ESP yn dilysu’r pennawd allanol, a dyna pam mae ESP gyda thramwy NAT yn gweithio ac AH y tu ôl i NAT ddim. Twnnel y mae ei ddwy ochr y tu ôl i lwybryddion cyffredin yw’r union le y mae hyn yn ymddangos gyntaf. Felly nid y cwestiwn cyntaf yw pa brotokol sy’n gryfaf, ond a oes cyfieithydd rhwng yr ochrau.

Os oes, mae AH allan, ac mae’r sgwrs yn symud i ESP a’i ddewisiadau algorithm. Cyfyngiad yw hwn ac nid dewis, felly mae’n perthyn ar frig y penderfyniad ac nid ar ei ddiwedd.

Mae’r modd yn lluosi’r cwestiwn

Mae ESP yn y modd cludo yn gwarchod llwyth yr haen uchaf ac yn gadael y pennawd IP yn llonydd; yn y modd twnnel mae’n amgapslu’r pecyn mewnol cyfan, gan gynnwys y pennawd IP mewnol, ac yn ei warchod. Mae gan AH yr un dau fodd, felly AH neu ESP yw pedwar cyfuniad mewn gwirionedd cyn dewis unrhyw algorithm.

Mae algorithmau ESP modd cyfun yn setlo cyfanrwydd wedyn heb ail brotokol. Mae AES-GCM a ChaCha20-Poly1305 yn dilysu ac yn amgryptio mewn un adeiladwaith, felly nid yw ychwanegu AH ar eu pennau yn prynu dim ond yn costio pennawd arall a thrafodaeth arall. Mae’r bensaernïaeth yn caniatáu AH ac ESP gyda’i gilydd, a’r cwestiwn ymarferol yw a yw eich porth a’ch rhyddhau yn cefnogi’r cyfuniad ac a all rhywun ei gynnal wedyn.

Yr amnewidiad gonest am AH yn unig

Mae’r amrywiolyn ESP cyfanrwydd yn unig yn cadw’r algorithm ac yn gollwng yr honiad amgryptio yn lle ei ffugio, ac mae’n goroesi NAT. Os oedd dyluniad hen yn defnyddio AH oherwydd bod angen dilysu heb gyfrinachedd, yr amrywiolyn hwnnw yw’r cyfieithiad uniongyrchol, nid twnnel amgryptiedig gyda nodyn ynghlwm.

Nid yw gweld ESP mewn cynnig yn brawf o amgryptio chwaith. Darllenwch yr algorithm amgryptio: mae cofnod NULL yn golygu cyfanrwydd yn unig, ac mae cofnod modd cyfun yn golygu’r ddau.

Penderfynwch mewn tri chwestiwn

Gofynnwch a oes angen cyfrinachedd, a oes cyfieithydd ar y llwybr, a pha feysydd pennawd sy’n gorfod cael eu dilysu. Mae’r tri ateb hynny’n pwyntio at un protokol ac un modd, ac mae eu hysgrifennu’n cymryd llai o amser na darllen yr RFC eto yn ddiweddarach.

Yna gwiriwch yr hyn a gafwyd yn hytrach na’r hyn a gynigiwyd. Mae ip xfrm state yn dangos protokol, modd ac algorithmau’r gymdeithas sydd wedi’i osod, ac mae anghysondeb yn gadael dim wedi’i osod, sy’n fethiant glanach na thwnnel sy’n codi heb y gwarchodaeth yr oeddech yn ei ddymuno.

Cadwch fethiannau dilysu, cwmpas detholyddion a ffyrdd llwybro ar wahân i’r dewis hwn. Maent yn cynhyrchu symptomau gwahanol, ac mae beio’r protokol am broblem detholydd yn ffordd ddibynadwy o dreulio diwrnod yn newid hash heb reswm.