IPsec inter du gastigantoj: kie protekto komenciĝas kaj finiĝas
Paro da gastigantoj povas protekti elektitajn fluojn sen pordego. Difinu la finpunktojn, la politikon kiu elektas trafikon kaj la permesojn kiuj restas apartaj.
Protekto sur paro da gastigantoj komenciĝas tie, kie la sekureca asocio finiĝas, kaj tio estas la fakto, kiun plej ofte maltrafas la pordego-forma intuicio. Aplikservilo kaj ĝia datumbaza servilo povas rekte protekti sian propran konversacion, sen ajna fora-aliro-koncentrilo en la vojo, kaj la protekta limo tiam kuŝas ene de ĉiu gastiganto anstataŭ en fajroŝirmilo. Kion tio donas al vi, estas kovrado de unu fino ĝis la alia por elektitaj fluoj. Kion ĝi ne donas al vi, estas decido pri tio, kiu rajtas legi kiun vicon.
La limo estas tie, kie la SA finiĝas
RFC 4301 priskribas sekurecajn asociojn en transporta reĝimo kiel la aranĝon kutime uzatan inter paro da gastigantoj por protekto de unu fino ĝis la alia. Tiuj du gastigantoj tenas la ŝlosilojn, kaj ĉiu el ili decidas, kiuj el ĝiaj propraj pakaĵoj eniras la asocion. Pordega tunelo finiĝas tute aliloke kaj atingas la gastiganton tra plia interna segmento, kio estas alia fido-limo eĉ kiam la pakaĵo estas ĉifrita dum la plej granda parto de sia vojaĝo.
Gastiganto-al-gastiganto kaj transporta reĝimo tamen ne estas sinonimoj. Du gastigantoj povas same ĝuste konstrui asocion en tunela reĝimo inter si, do elektu unue la reĝimon kaj poste priskribu la finpunktojn. Skribu ambaŭ en la projektan noton apud la adresoj de la partneroj, ĉar recenzanto, kiu konas nur la reĝimon, supozos la alian.
La SPD decidas pri protekto, la itinero pri direkto
Enkursiga tabelo respondas, kien iras pakaĵo. La datumbazo de sekureca politiko respondas, kiel la elektita trafiko transiras la protektan limon, kaj ĝi faras tion laŭ direkto kun propraj selektiloj. Tiu disigo estas la kialo, ke funkcianta itinero al la datumbazo pruvas nenion pri tio, ĉu la peto estis protektita, kaj ke interkonsentita negocado pruvas nenion pri tio, ĉu ĉi tiu konkreta aplikaĵo kongruis kun ĝi. Komparu la selektilojn antaŭ ol kompari la nombrilojn, ĉar la nombriloj priskribas nur la fluojn, kiuj atingis tiom malproksimen.
En Linukso, ip xfrm policy presas tiujn rikordojn kun ilia direkto, prioritato, selektilo kaj ago permesi, bloki aŭ kapti, dum ip xfrm state montras la rezultajn asociojn kaj iliajn nombrilojn. Legi ambaŭ kune estas la maniero trovi la fluon, kiu silente preteriris la tunelon ĉar pli larĝa permesa rikordo kongruis unue.
Prioritata ordo estas parto de la politiko, ne efektiviga detalo. Mallarĝa rikordo, kiu devus protekti la datumbazan pordon, malgajnas kontraŭ pli larĝa rikordo kun pli alta prioritato, kaj la fiasko aspektas kvazaŭ la politiko neniam estis konsultita.
La transporta reĝimo kovras la sekvan tavolon, ne la IP-kapon
| Transport mode | Tunnel mode | |
|---|---|---|
| Original IP header | kept for routing the flow | replaced by an outer header |
| What ESP protects | the carried next-layer payload | the whole inner IP packet |
| Where it terminates | commonly the two hosts | gateway pair, or a host pair |
En transporta reĝimo la ESP-kapo sidas inter la IP-kapo kaj la utila ŝarĝo, kaj la adresaj kampoj de tiu kapo restas videblaj al ĉiu aparato sur la vojo. Tio estas en ordo, kiam la adresoj ne estas la sekreto kaj la ŝarĝo estas. Ĝi estas la malĝusta elekto, se vi ankaŭ devas kaŝi la internan topologion, ĉar nur la tunela reĝimo volvas la originan kapon en novan.
Ambaŭ reĝimoj povas porti plurajn protokolojn de la sekva tavolo, kaj ESP protektos tion, kion kongruas la selektilo, anstataŭ ĉion, kion la gastiganto sendas.
La elekto estas pli mallarĝa ol la konekto
Unuopa asocio povas porti plurajn fluojn, sed nur tiujn, kiujn la politiko elektas. Registru la identecojn de la partneroj, la fontajn kaj celajn adresojn, la protokolon kaj la servan amplekson por la rilato, kiun vi intencas, poste decidu aparte, ĉu ne kongrua trafiko rajtas iri malkaŝe, devas esti protektita, aŭ devas esti forĵetita, kiam la asocio ne haveblas. Ĝuste tiu lasta decido produktas surprizojn, ĉar regulo postulanta protekton por la malĝusta fonto povas bloki vian propran administran aliron same efike, kiel ĝi blokas entrudulon.
Tenu aprobitan ekster-bandan vojon dum vi ŝanĝas la plenumadon, kaj testu ĝin antaŭ ol vi bezonos ĝin anstataŭ poste, kiam ambaŭ gastigantoj fariĝos neatingeblaj.
Maŝina identeco ne estas aplikaĵa permeso
IPsec aŭtentikigas agorditan partneron kaj protektas elektitajn pakaĵojn. Ĝi ne decidas, kiun datumbazan rikordon persono rajtas redakti, kaj ĝi ne transformas fidatajn servilajn identecojn en donacon de ĉiu aplikaĵa privilegio. Aplikaĵaj kontoj, roloj kaj rajtigo restas ĝuste tie, kie ili estis, kaj TLS-postulo je aplikaĵa nivelo konservas sian propran celon eĉ kiam la reta vojo jam estas protektita.
Akceptu la dezajnon kun unu operacio el la intencita fonto kaj unu, kiu devas esti rifuzita, kaj inkluzivi, kio okazas, kiam la postulata asocio ne povas esti establita. Ordinara atingebl-testo diras al vi, ke pakaĵoj moviĝas; ĝi ne diras al vi, ke ili moviĝis sub la politiko, kiun vi skribis.