Modus kennzeichnen, bevor zwei VPN-Paketdiagramme verglichen werden

Zwei Diagramme können beide richtig sein und unterschiedlich aussehen, weil sie verschiedene Pakete beschreiben. Eine Aushandlungsnachricht und ein Anwendungsdatenpaket teilen sich kein Layout, selbst innerhalb einer Sitzung nicht, und Transportmodus und Tunnelmodus ebenso wenig. Zeichnungen zu vergleichen, ohne anzugeben, welches Paket und welchen Modus jede darstellt, erzeugt einen Streit über Header, die nie hätten übereinstimmen sollen. Vier Beschriftungen klären das, bevor der Vergleich beginnt.

Schreiben Sie die Implementierung und den Modus, den Kanal, den äußeren Transport und die beförderte Nutzlast neben jede Zeichnung.

Transportmodus und Tunnelmodus verschieben den Header unterschiedlich

Im Transportmodus sitzt ESP nach dem IP-Header und vor dem beförderten Protokoll, sodass der ursprüngliche IP-Header außerhalb des Schutzes bleibt. Im Tunnelmodus adressiert ein neuer äußerer IP-Header die beiden IPsec-Peers, und das geschützte innere Paket behält seinen eigenen IP-Header. Beide sind in RFC 4303 definiert und beide sind für ihren Modus richtig. Eine vereinfachte Skizze, die Trailer und Integritätsfelder weglässt, taugt für die Platzierung und ist für das Zählen von Bytes nutzlos.

Transport bedeutet nicht speziell TCP oder UDP. Das beförderte Protokoll der nächsten Schicht kann alles sein, und ein Diagramm, das Transportmodus mit einem Protokoll gleichsetzt, hat stillschweigend eine Annahme hinzugefügt.

Steuernachrichten sind keine Datennachrichten

L2TP hält zwei Nachrichtentypen getrennt: Datennachrichten, die PPP-Rahmen tragen, und Steuernachrichten, die den Tunnel und seine Verbindungen aufbauen, erhalten und abbauen. Der Steuerkanal ist zuverlässig, während verlorene Datennachrichten von L2TP einfach nicht erneut gesendet werden. Eine Zeichnung mit PPP kann daher die Nutzlast beschreiben, die eine Datennachricht trägt, nicht einen Header, den jede geschützte Sitzung enthalten muss. L2TP mit Schutz zu kombinieren fügt die gewählte Sicherheitsanordnung oben hinzu und macht nicht jede Nachricht gleich.

Wenn ein Diagramm behauptet, beide Nachrichtenarten sähen gleich aus, beschreibt es ein anderes Protokoll oder einen anderen Umfang.

Vergleichen Sie äquivalente Aufnahmepunkte

Eine Aufnahme an der äußeren Schnittstelle zeigt die Schutz- und Transport-Header; eine innere Aufnahme nach der Entkapselung zeigt das beförderte Paket. Keine ist falsch, und der Vergleich der einen mit der anderen lässt Header fehlend oder doppelt erscheinen. UDP-Kapselung, wie sie für NAT-Traversal definiert ist, fügt eine weitere äußere Schicht hinzu, die eine Zeichnung mit nativem ESP nicht hat. Beide Zeichnungen können gültige Beschreibungen unterschiedlicher Transportanordnungen sein.

Nennen Sie den Aufnahmepunkt zusammen mit dem Diagramm und vergleichen Sie äquivalente Nachrichten in äquivalenten Modi. Ein fehlender Header ist nur dann ein Hinweis auf einen Fehler, wenn beide Zeichnungen denselben Punkt und denselben Pakettyp beanspruchen.

Behalten Sie die Beschriftungen bei der Zeichnung

Ein Diagramm ohne Beschriftungen altert schlecht, weil der nächste Leser seine eigenen Annahmen ergänzt. Fügen Sie die vier Beschriftungen hinzu, markieren Sie die Schutzgrenze und notieren Sie, ob die Zeichnung der Platzierung oder der Dimensionierung dient. Dient sie der Dimensionierung, verwenden Sie die vollständige Spezifikation statt einer Skizze. Die Beschriftungen kosten eine Minute; der Streit, den sie verhindern, kostet einen Nachmittag.

Wenn zwei Dokumente nicht übereinstimmen, vergleichen Sie zuerst ihre Beschriftungen. Eine Unstimmigkeit auf Modus- oder Kanalebene erklärt den Unterschied vollständig, und kein Header fehlt tatsächlich.

Notieren Sie, welches Paket, welchen Modus und welchen Aufnahmepunkt die Zeichnung zeigt. Diese Notiz ist die andere Hälfte des Diagramms.