Λειτουργία μεταφοράς ή σήραγγας: αποφασίστε με το πακέτο, όχι με το διάγραμμα
Η μεταφορά και η σήραγγα περιγράφουν τι βρίσκεται μέσα στο ESP, όχι αν εμπλέκεται κεντρικός υπολογιστής ή πύλη. Τρεις ερωτήσεις καθορίζουν ποια λειτουργία χρειάζεται μια ανάπτυξη.
Τα διαγράμματα των εγχειριδίων συνδυάζουν τη λειτουργία μεταφοράς με δύο κεντρικούς υπολογιστές και τη λειτουργία σήραγγας με δύο πύλες, και αυτός ο κανόνας αντέχει μέχρι την πρώτη ανάπτυξη που τον ανατρέπει. Η λειτουργία περιγράφει τι τυλίγει το πακέτο ESP, όχι ποιοι είναι οι ομότιμοι. Μια πύλη μπορεί να προστατεύσει κίνηση σε λειτουργία μεταφοράς, και ένα ζεύγος κεντρικών υπολογιστών μπορεί να χρησιμοποιήσει λειτουργία σήραγγας αν το επιλέξει. Τρεις ερωτήσεις καθορίζουν τι χρειάζεται μια συγκεκριμένη ανάπτυξη.
Η λειτουργία είναι διάταξη, όχι τοπολογία
Στη λειτουργία μεταφοράς η κεφαλίδα ESP πηγαίνει μετά την κεφαλίδα IP και πριν από το φορτίο του επόμενου επιπέδου, άρα η αρχική κεφαλίδα IP μένει απέξω και ορατή. Στη λειτουργία σήραγγας το προστατευόμενο περιεχόμενο είναι ένα πλήρες πακέτο IP, και μια νέα εξωτερική κεφαλίδα ονομάζει τους δύο ομότιμους του IPsec.
| Mode | What follows the outer IP header | Headers a capture shows |
|---|---|---|
| Transport | ESP, then the next-layer payload | One IP header |
| Tunnel | ESP, then a whole inner IP packet | Outer and inner headers |
Με επιλεγμένη την εμπιστευτικότητα, η προστατευόμενη περιοχή στη λειτουργία σήραγγας περιλαμβάνει αυτή την εσωτερική κεφαλίδα IP, γι’ αυτό μια καταγραφή δεν μπορεί να σας πει τα πραγματικά τελικά σημεία χωρίς κλειδιά. Η εξωτερική κεφαλίδα μένει αναγνώσιμη και στις δύο περιπτώσεις, και αυτό είναι που καθιστά δυνατή την αντιμετώπιση προβλημάτων.
Πρώτη ερώτηση: τι ακριβώς βρίσκεται μέσα στο ESP
Κοιτάξτε το πακέτο που παράγει η εφαρμογή και ρωτήστε ποιο όριο το προστατεύει. Αν η απάντηση είναι το φορτίο μεταφοράς ανάμεσα σε δύο διευθύνσεις που είναι ήδη σωστές, η λειτουργία μεταφοράς ταιριάζει χωρίς να επινοήσει δεύτερη κεφαλίδα. Αν το προστατευόμενο περιεχόμενο χρειάζεται δικές του διευθύνσεις, επειδή τα πραγματικά τελικά σημεία διαφέρουν από τους ομότιμους που μεταφέρουν την κίνηση, η λειτουργία σήραγγας κάνει τη δουλειά. Και οι δύο περιπτώσεις υπάρχουν στον ίδιο οργανισμό, γι’ αυτό μια μόνο δήλωση πολιτικής σπάνια καλύπτει τα πάντα.
Αυτή την ερώτηση μπορείτε να την απαντήσετε από μια καταγραφή και έναν πίνακα δρομολόγησης. Δεν μπορείτε να την απαντήσετε από ένα σχέδιο που ονομάζει τα κουτιά πελάτη και διακομιστή. Μια καταγραφή που λαμβάνεται σε οποιονδήποτε από τους δύο ομότιμους δείχνει μέσα σε δευτερόλεπτα ποιο από τα δύο βλέπετε.
Δεύτερη ερώτηση: υπάρχει ήδη σήραγγα μέσα
L2TP είναι το ιστορικό αντιπαράδειγμα που το δείχνει. Η υπηρεσία μεταφέρει PPP μέσα σε συνεδρία L2TP, και το IPsec προστατεύει αυτή την ανταλλαγή· η διάταξη ορίζει λειτουργία μεταφοράς, με τη λειτουργία σήραγγας να επιτρέπεται ως επιλογή. Το ορατό αποτέλεσμα είναι μια σήραγγα σε επίπεδο υπηρεσίας της οποίας η εξωτερική προστασία χρησιμοποιεί λειτουργία μεταφοράς.
Άρα η παρουσία της λέξης σήραγγα σε μια περιγραφή προϊόντος δεν λέει τίποτα για τη λειτουργία του επιπέδου από κάτω. Καταγράψτε ποια ερώτηση το έκρινε, γιατί ο επόμενος ελεγκτής θα ρωτήσει το ίδιο. Διαβάστε την προδιαγραφή για αυτόν τον συνδυασμό αντί να συλλογιστείτε από το όνομα, αφού αυτή η συνήθεια αποτρέπει τις περισσότερες διαφωνίες για το τι πρέπει να υποστηρίζει ένα προϊόν.
Τρίτη ερώτηση: τι απαιτεί ο ομότιμος
Δύο ομότιμοι πρέπει να συμφωνήσουν, και μια πρόταση που προσφέρει τη μία λειτουργία ενώ ο άλλος απαιτεί τη δεύτερη αποτυγχάνει κατά τη διαπραγμάτευση αντί να υποβαθμίζεται σιωπηλά. Ρωτήστε τον ιδιοκτήτη του απομακρυσμένου άκρου ποια λειτουργία ονομάζει η πολιτική, και ελέγξτε την πρόταση αντί για τη σύνοψη της τεκμηρίωσης.
Τα μικτά περιβάλλοντα είναι συνηθισμένα: μια πύλη τερματίζει συνεδρίες λειτουργίας μεταφοράς για ένα παλιό προϊόν και συνεδρίες λειτουργίας σήραγγας για έναν σύνδεσμο τοποθεσίας. Η λειτουργία είναι ανά συσχέτιση, όχι ανά συσκευή. Ζητήστε τη λίστα συσχετίσεων αντί για το όνομα της λειτουργίας, γιατί το όνομα ταξιδεύει πιο γρήγορα από τη διαμόρφωση.
Διαβάζοντας τη συσχέτιση που υπάρχει
Για μια ανασκόπηση, απαριθμήστε τους ομότιμους, τη λειτουργία, τους επιλογείς και το πρωτόκολλο του επόμενου επιπέδου, και μετά προσθέστε οποιαδήποτε ενθυλάκωση τυλίγεται γύρω από το αποτέλεσμα. Η μετάφραση διευθύνσεων προσθέτει τη δική της εξωτερική όψη και δεν είναι λειτουργία· μια μεταφρασμένη ροή μπορεί ακόμη να είναι οποιαδήποτε από τις δύο. Η λίστα είναι το μόνο τεκμήριο που δείχνει τη συσχέτιση όπως έχει εγκατασταθεί και όχι όπως είχε σχεδιαστεί.
Κλείστε με το ερώτημα δρομολόγησης και εξουσιοδότησης, γιατί μια σωστή διάταξη πακέτου δεν σας λέει τίποτα για το ποια υποδίκτυα επιτρέπονται ή αν υπάρχει η διαδρομή επιστροφής. Αυτά ζουν στην πολιτική και στον πίνακα δρομολόγησης, και κανένα από τα δύο δεν αλλάζει το επιχείρημα για τη λειτουργία.