Transport- oder Tunnelmodus: nach dem Paket entscheiden, nicht nach der Zeichnung
Transport und Tunnel beschreiben, was in ESP steckt, nicht ob ein Host oder ein Gateway beteiligt ist. Drei Fragen klären, welchen Modus eine Bereitstellung braucht.
Lehrbuchdiagramme verbinden den Transportmodus mit zwei Hosts und den Tunnelmodus mit zwei Gateways, und diese Faustregel hält bis zur ersten Bereitstellung, die sie bricht. Der Modus beschreibt, was das ESP-Paket einpackt, nicht wer die Gegenstellen sind. Ein Gateway kann Verkehr im Transportmodus schützen, und ein Paar von Hosts kann den Tunnelmodus verwenden, wenn es das wählt. Drei Fragen klären, was eine bestimmte Bereitstellung braucht.
Der Modus ist ein Aufbau, keine Topologie
Im Transportmodus folgt der ESP-Header nach dem IP-Header und vor der Nutzlast der nächsten Schicht, sodass der ursprüngliche IP-Header draußen und sichtbar bleibt. Im Tunnelmodus ist der geschützte Inhalt ein vollständiges IP-Paket, und ein neuer äußerer Header benennt die beiden IPsec-Gegenstellen.
| Mode | What follows the outer IP header | Headers a capture shows |
|---|---|---|
| Transport | ESP, then the next-layer payload | One IP header |
| Tunnel | ESP, then a whole inner IP packet | Outer and inner headers |
Bei gewählter Vertraulichkeit umfasst der geschützte Bereich im Tunnelmodus diesen inneren IP-Header, weshalb eine Aufzeichnung ohne Schlüssel die echten Endpunkte nicht verraten kann. Der äußere Header bleibt in beiden Fällen lesbar, und genau das macht Fehlersuche überhaupt möglich.
Frage eins: was genau steckt in ESP
Betrachten Sie das Paket, das die Anwendung erzeugt, und fragen Sie, welche Grenze es schützt. Ist die Antwort die Transportnutzlast zwischen zwei Adressen, die bereits korrekt sind, passt der Transportmodus, ohne einen zweiten Header zu erfinden. Braucht der geschützte Inhalt eigene Adressen, weil die echten Endpunkte sich von den Gegenstellen unterscheiden, die den Verkehr tragen, erledigt der Tunnelmodus die Aufgabe. Beide Fälle existieren in derselben Organisation, weshalb eine einzelne Richtlinienaussage selten alles abdeckt.
Diese Frage lässt sich aus einer Aufzeichnung und einer Routing-Tabelle beantworten. Sie lässt sich nicht aus einer Zeichnung beantworten, die Kästen als Client und Server beschriftet. Eine an einer der Gegenstellen aufgenommene Aufzeichnung zeigt binnen Sekunden, welche der beiden Sie vor sich haben.
Frage zwei: steckt schon ein Tunnel darin
L2TP ist das historische Gegenbeispiel, das den Punkt macht. Der Dienst trägt PPP in einer L2TP-Sitzung, und IPsec schützt diesen Austausch; die Anordnung schreibt den Transportmodus vor, wobei der Tunnelmodus als Option erlaubt ist. Das sichtbare Ergebnis ist ein Tunnel auf Dienstebene, dessen äußerer Schutz den Transportmodus verwendet.
Das Wort Tunnel in einer Produktbeschreibung sagt also nichts über den Modus der Schicht darunter. Notieren Sie, welche Frage das geklärt hat, denn die nächste Prüferin wird dasselbe fragen. Lesen Sie die Spezifikation für diese Kombination, statt aus dem Namen zu schließen, denn diese Gewohnheit verhindert die meisten Debatten darüber, was ein Produkt unterstützen muss.
Frage drei: was verlangt die Gegenstelle
Zwei Gegenstellen müssen sich einigen, und ein Vorschlag, der einen Modus anbietet, während die andere den zweiten verlangt, scheitert während der Aushandlung, statt stillschweigend schlechter zu werden. Fragen Sie den Eigentümer des fernen Endes, welchen Modus die Richtlinie nennt, und prüfen Sie den Vorschlag statt der Dokumentationszusammenfassung.
Gemischte Umgebungen sind üblich: Ein Gateway beendet Transportmodus-Sitzungen für ein Altprodukt und Tunnelmodus-Sitzungen für eine Standortverbindung. Der Modus gilt pro Assoziation, nicht pro Gerät. Verlangen Sie die Assoziationsliste statt des Funktionsnamens, denn der Name reist schneller als die Konfiguration.
Die vorhandene Assoziation lesen
Für eine Prüfung listen Sie die Gegenstellen, den Modus, die Selektoren und das Protokoll der nächsten Schicht auf und ergänzen dann jede Kapselung, die um das Ergebnis gelegt ist. Adressübersetzung fügt ihre eigene äußere Sicht hinzu und ist kein Modus; ein übersetzter Fluss kann weiterhin beides sein. Die Liste ist das einzige Artefakt, das die Assoziation so zeigt, wie sie installiert ist, statt wie sie gedacht war.
Schließen Sie mit der Frage nach Routing und Autorisierung, denn ein korrektes Paketlayout sagt nichts darüber, welche Subnetze erlaubt sind oder ob der Rückweg existiert. Diese leben in der Richtlinie und in der Routing-Tabelle, und keines von beiden ändert das Argument zum Modus.