Transport- eller tunnelmode: afgør det ud fra pakken, ikke diagrammet

Lærebogsdiagrammer parrer transportmode med to værter og tunnelmode med to gateways, og den tommelfingerregel holder lige til den første udrulning, der bryder den. Moden beskriver, hvad ESP-pakken pakker ind, ikke hvem parterne er. En gateway kan beskytte trafik i transportmode, og et par værter kan bruge tunnelmode, hvis de vælger det. Tre spørgsmål afgør, hvad en bestemt udrulning har brug for.

Mode er et layout, ikke en topologi

I transportmode kommer ESP-headeren efter IP-headeren og før næste lags nyttelast, så den oprindelige IP-header bliver udenfor og synlig. I tunnelmode er det beskyttede indhold en komplet IP-pakke, og en ny ydre header navngiver de to IPsec-parter.

Med fortrolighed valgt omfatter det beskyttede område i tunnelmode den indre IP-header, og derfor kan en optagelse ikke fortælle dig de rigtige endepunkter uden nøgler. Den ydre header forbliver læsbar i begge tilfælde, og det er netop det, der overhovedet gør fejlfinding mulig.

Spørgsmål et: hvad ligger præcis inde i ESP

Se på den pakke, applikationen producerer, og spørg, hvilken grænse der beskytter den. Hvis svaret er transportens nyttelast mellem to adresser, der allerede er rigtige, passer transportmode uden at opfinde en ekstra header. Hvis det beskyttede indhold har brug for sine egne adresser, fordi de rigtige endepunkter adskiller sig fra de parter, der bærer trafikken, klarer tunnelmode opgaven. Begge tilfælde findes i samme organisation, og derfor dækker en enkelt politikformulering sjældent alt.

Det spørgsmål kan besvares ud fra en optagelse og en routingtabel. Det kan ikke besvares ud fra en tegning, der kalder kasserne klient og server. En optagelse taget ved en af parterne viser inden for sekunder, hvilken af de to du ser på.

Spørgsmål to: er der allerede en tunnel indeni

L2TP er det historiske modeksempel, der viser pointen. Tjenesten bærer PPP inde i en L2TP-session, og IPsec beskytter den udveksling; arrangementet angiver transportmode, med tunnelmode tilladt som option. Det synlige resultat er en tunnel på tjenesteniveau, hvis ydre beskyttelse bruger transportmode.

Så ordet tunnel i en produktbeskrivelse siger intet om moden på laget nedenunder. Noter, hvilket spørgsmål der afgjorde det, for den næste anmelder vil spørge om det samme. Læs specifikationen for den kombination i stedet for at ræsonnere ud fra navnet, for den vane forhindrer de fleste diskussioner om, hvad et produkt skal understøtte.

Spørgsmål tre: hvad kræver modparten

To parter skal være enige, og et forslag, der tilbyder én mode, mens den anden kræver den anden, fejler under forhandlingen i stedet for at degradere stille. Spørg ejeren af den fjerne ende, hvilken mode politikken angiver, og kontroller forslaget i stedet for dokumentationsresuméet.

Blandede miljøer er almindelige: en gateway afslutter transportmode-sessioner for et ældre produkt og tunnelmode-sessioner for en lokaleforbindelse. Moden er per association, ikke per enhed. Bed om associationslisten i stedet for funktionsnavnet, for navnet rejser hurtigere end konfigurationen.

At læse den association, der findes

Til en gennemgang listes parterne, moden, selektorerne og næste lags protokol, og derefter tilføjes enhver indkapsling, der er viklet omkring resultatet. Adresseoversættelse tilføjer sit eget ydre billede og er ikke en mode; en oversat strøm kan stadig være en af de to. Listen er det eneste artefakt, der viser associationen, som den er installeret, i stedet for som den er tilsigtet.

Afslut med routing- og autorisationsspørgsmålet, for et korrekt pakkelayout fortæller intet om, hvilke undernet der er tilladte, eller om returvejen findes. De lever i politik og i routingtabellen, og ingen af dem ændrer argumentet om mode.