IPsec rhwng dau host: ble mae amddiffyniad yn dechrau ac yn gorffen

Mae amddiffyniad ar bâr o hostiaid yn dechrau lle mae'r gymdeithas diogelwch yn gorffen, a dyna'r ffaith y mae'r reddf siâp giât yn ei cholli amlaf. Gall gweinydd cymhwysiad a'i weinydd cronfa ddata amddiffyn eu sgwrs eu hunain yn uniongyrchol, heb unrhyw ganolbwynt mynediad o bell yn y llwybr, a'r ffin amddiffyniad wedyn yn gorwedd y tu mewn i bob host yn hytrach nag mewn mur tanio. Yr hyn y mae hyn yn ei roi yw sylw o un pen i'r llall ar gyfer llifau dethol. Yr hyn nad yw'n ei roi yw penderfyniad ynghylch pwy all ddarllen pa res.

Y ffin yw lle mae'r SA yn gorffen

Mae RFC 4301 yn disgrifio cymdeithasau diogelwch yn y modd cludo fel y trefniant a ddefnyddir fel arfer rhwng pâr o hostiaid ar gyfer amddiffyniad o un pen i'r llall. Y ddau host hynny sy'n dal yr allweddi, ac mae pob un yn penderfynu pa rai o'i becynnau ei hun sy'n mynd i mewn i'r gymdeithas. Mae twnnel giât yn gorffen yn hollol arall ac yn cyrraedd y host trwy segment mewnol ychwanegol, sef ffin ymddiriedaeth wahanol hyd yn oed pan fydd y pecyn wedi'i amgryptio am y rhan fwyaf o'i daith.

Nid yw host-i-host a modd cludo yn gyfystyron, fodd bynnag. Gall dau host adeiladu cymdeithas mewn modd twnnel rhyngddynt yr un mor gywir, felly dewiswch y modd yn gyntaf ac yna disgrifiwch y terfynau. Ysgrifennwch y ddau yn y nodyn dylunio wrth ymyl cyfeiriadau'r cymheiriaid, oherwydd bydd adolygydd sy'n gwybod y modd yn unig yn tybio'r llall.

Mae'r SPD yn penderfynu ar amddiffyniad, mae'r llwybr yn penderfynu ar gyfeiriad

Mae tabl llwybro yn ateb i ble mae pecyn yn mynd. Mae cronfa ddata polisi diogelwch yn ateb sut mae'r traffig dethol yn croesi'r ffin amddiffyniad, ac mae'n gwneud hynny fesul cyfeiriad gyda'i ddetholwyr ei hun. Y gwahaniad hwnnw yw'r rheswm pam nad yw llwybr sy'n gweithio i'r gronfa ddata yn profi dim am a oedd y cais wedi'i amddiffyn, a pham nad yw trafodaeth sefydledig yn profi dim am a oedd y cymhwysiad penodol hwn yn cyfateb iddi. Cymharwch y detholwyr cyn i chi gymharu'r rhifyddion, oherwydd dim ond y llifau a gyrhaeddodd mor bell y mae'r rhifyddion yn eu disgrifio.

Ar Linux, mae ip xfrm policy yn argraffu'r cofnodion hynny gyda'u cyfeiriad, blaenoriaeth, detholydd a'u gweithred caniatáu, blocio neu drapio, tra bod ip xfrm state yn dangos y cymdeithasau sy'n deillio a'u rhifyddion. Darllen y ddau gyda'i gilydd yw'r ffordd i ddod o hyd i'r llif a aeth heibio'r twnnel yn dawel oherwydd bod cofnod caniatáu ehangach wedi cyfateb yn gyntaf.

Mae trefn blaenoriaeth yn rhan o'r polisi, nid yn fanylion gweithredu. Mae cofnod cul a ddylai amddiffyn porth y gronfa ddata yn colli i gofnod ehangach â blaenoriaeth uwch, ac mae'r methiant yn edrych fel pe na bai'r polisi wedi'i ymgynghori erioed.

Mae'r modd cludo yn cwmpasu'r haen nesaf, nid y pennawd IP

Yn y modd cludo mae pennawd ESP yn eistedd rhwng pennawd IP a'r llwyth, ac mae meysydd cyfeiriad y pennawd hwnnw yn parhau'n weladwy i bob dyfais ar y llwybr. Mae hynny'n iawn pan nad yw'r cyfeiriadau yn y gyfrinach a'r llwyth yw'r gyfrinach. Dyma'r dewis anghywir os oes angen ichi hefyd guddio'r topoleg fewnol, oherwydd dim ond y modd twnnel sy'n lapio'r pennawd gwreiddiol mewn un newydd.

Gall y ddau fodd gario sawl protocol o'r haen nesaf, a bydd ESP yn amddiffyn yr hyn y mae'r detholydd yn cyfateb iddo yn hytrach na phopeth y mae'r host yn ei anfon.

Mae'r dewis yn gulach na'r cysylltiad

Gall un gymdeithas gario sawl llif, ond dim ond y rhai y mae'r polisi yn eu dewis. Cofnodwch hunaniaethau'r cymheiriaid, y cyfeiriadau ffynhonnell a chyrchfan, y protocol a chwmpas y gwasanaeth ar gyfer y berthynas a fwriadwch, yna penderfynwch ar wahân a all traffig nad yw'n cyfateb fynd yn agored, a oes rhaid ei amddiffyn, neu a oes rhaid ei ollwng pan nad yw'r gymdeithas ar gael. Y penderfyniad olaf hwnnw sy'n cynhyrchu syndod, oherwydd gall rheol sy'n mynnu amddiffyniad ar gyfer y ffynhonnell anghywir rwystro eich mynediad rheoli eich hun mor effeithiol ag y mae'n rhwystro tresmynnydd.

Cadwch lwybr allweddol all-fand cymeradwy tra byddwch yn newid y gorfodi, a'i brofi cyn i chi fod ei angen yn hytrach nag ar ôl i'r ddau host ddod yn anghyraeddadwy.

Nid yw hunaniaeth peiriant yn ganiatâd cymhwysiad

Mae IPsec yn dilysu cymar sydd wedi'i ffurfweddu ac yn amddiffyn pecynnau dethol. Nid yw'n penderfynu pa gofnod cronfa ddata y caiff person ei olygu, ac nid yw'n troi hunaniaeth gweinydd ymddiriedus yn roddiad o bob braint cymhwysiad. Mae cyfrifon, rolau ac awdurdodiad y cymhwysiad yn aros yn union lle'r oeddent, ac mae gofyniad TLS ar lefel cymhwysiad yn cadw ei ddiben ei hun hyd yn oed pan fydd y llwybr rhwydwaith eisoes wedi'i amddiffyn.

Derbyniwch y dyluniad gydag un gweithrediad o'r ffynhonnell a fwriadwyd ac un y mae'n rhaid ei wrthod, a chynhwyswch yr hyn sy'n digwydd pan na ellir sefydlu'r gymdeithas ofynnol. Mae prawf cyrhaeddedd cyffredin yn dweud wrthych fod pecynnau'n symud; nid yw'n dweud wrthych eu bod wedi symud o dan y polisi a ysgrifennwyd gennych.