Transporta aŭ tunela reĝimo: decidu laŭ la paketo, ne laŭ la diagramo

Lernolibraj diagramoj parigas la transportan reĝimon kun du gastigantoj kaj la tunelan reĝimon kun du enirejoj, kaj tiu regulo validas ĝis la unua liverado, kiu ĝin rompas. La reĝimo priskribas, kion la paketo ESP ĉirkaŭvolvas, ne kiuj estas la partneroj. Enirejo povas protekti trafikon en la transporta reĝimo, kaj paro da gastigantoj povas uzi la tunelan reĝimon, se ĝi tion elektas. Tri demandoj decidas, kion bezonas konkreta liverado.

La reĝimo estas aranĝo, ne topologio

En la transporta reĝimo la kaplinio ESP iras post la kaplinio IP kaj antaŭ la utilŝarĝo de la sekva tavolo, do la origina kaplinio IP restas ekstere kaj videbla. En la tunela reĝimo la protektita enhavo estas kompleta paketo IP, kaj nova ekstera kaplinio nomas la du partnerojn de IPsec.

Kiam oni elektas konfidencon, la protektita regiono en la tunela reĝimo inkluzivas tiun internan kaplinion IP, kaj tial registraĵo ne povas malkaŝi la verajn finpunktojn sen ŝlosiloj. La ekstera kaplinio restas legebla en ambaŭ kazoj, kaj ĝuste tio ebligas entute sencimigi problemojn.

Unua demando: kio precize troviĝas ene de ESP

Rigardu la paketon, kiun la aplikaĵo produktas, kaj demandu, kiu limo ĝin protektas. Se la respondo estas la transporta utilŝarĝo inter du adresoj jam ĝustaj, la transporta reĝimo taŭgas sen elpensi duan kaplinion. Se la protektita enhavo bezonas proprajn adresojn, ĉar la veraj finpunktoj diferencas de la partneroj portantaj la trafikon, la tunela reĝimo plenumas la taskon. Ambaŭ kazoj ekzistas en la sama organizo, kaj tial unu politika deklaro malofte kovras ĉion.

Oni povas respondi tiun demandon per registraĵo kaj per enkursiga tabelo. Oni ne povas respondi ĝin per desegnaĵo, kiu etiketas la skatolojn kiel kliento kaj servilo. Registraĵo prenita ĉe iu ajn partnero montras ene de sekundoj, kiun el la du vi rigardas.

Dua demando: ĉu jam estas tunelo ene

L2TP estas la historia kontraŭekzemplo, kiu pruvas la punkton. La servo portas PPP ene de sesio L2TP, kaj IPsec protektas tiun interŝanĝon; la aranĝo specifas la transportan reĝimon, kun la tunela reĝimo permesata kiel opcio. La videbla rezulto estas tunelo je la serva nivelo, kies ekstera protekto uzas la transportan reĝimon.

Do la ĉeesto de la vorto tunelo en produkta priskribo diras nenion pri la reĝimo de la tavolo sub ĝi. Notu, kiu demando tion decidis, ĉar la sekva revizianto demandos la saman. Legu la specifikaĵon por tiu kombino anstataŭ rezoni el la nomo, ĉar tiu kutimo malebligas plej multajn disputojn pri tio, kion produkto devas subteni.

Tria demando: kion postulas la partnero

Du partneroj devas interkonsenti, kaj propono, kiu ofertas unu reĝimon dum la alia postulas la duan, malsukcesas dum la intertraktado anstataŭ silente degradi. Demandu la posedanton de la malproksima fino, kiun reĝimon la politiko nomas, kaj kontrolu la proponon anstataŭ la resumon de la dokumentaro.

Miksitaj medioj oftas: unu enirejo finas sesiojn de la transporta reĝimo por malnova produkto kaj sesiojn de la tunela reĝimo por loka ligilo. La reĝimo estas por ĉiu asocio, ne por aparato. Petu la liston de asocioj anstataŭ la nomon de la funkcio, ĉar la nomo vojaĝas pli rapide ol la agordo.

Legi la asocion, kiu ekzistas

Por revizio, listigu la partnerojn, la reĝimon, la selektilojn kaj la protokolon de la sekva tavolo, poste aldonu ajnan enkapsuligon volvitan ĉirkaŭ la rezulto. Adrestraduko aldonas sian propran eksteran vidon kaj ne estas reĝimo; tradukita fluo ankoraŭ povas esti iu ajn el la du. La listo estas la sola artefakto, kiu montras la asocion kiel instalita, ne kiel intencita.

Finu per la demando pri enkursigado kaj rajtigo, ĉar ĝusta paketa aranĝo diras al vi nenion pri tio, kiuj subretoj estas permesataj aŭ ĉu la responda vojo ekzistas. Tiuj loĝas en la politiko kaj en la enkursiga tabelo, kaj nek unu ŝanĝas la argumenton pri la reĝimo.