Modo transporte o túnel: decida por el paquete, no por el diagrama
Transporte y túnel describen qué hay dentro de ESP, no si interviene un host o una pasarela. Tres preguntas determinan qué modo necesita un despliegue.
Los diagramas de los manuales emparejan el modo transporte con dos hosts y el modo túnel con dos pasarelas, y esa regla se mantiene hasta el primer despliegue que la rompe. El modo describe qué envuelve el paquete ESP, no quiénes son los pares. Una pasarela puede proteger tráfico en modo transporte, y un par de hosts puede usar modo túnel si así lo elige. Tres preguntas determinan qué necesita un despliegue concreto.
El modo es una disposición, no una topología
En modo transporte la cabecera ESP va después de la cabecera IP y antes de la carga útil de la capa siguiente, así que la cabecera IP original queda fuera y visible. En modo túnel el contenido protegido es un paquete IP completo, y una cabecera exterior nueva nombra a los dos pares IPsec.
| Mode | What follows the outer IP header | Headers a capture shows |
|---|---|---|
| Transport | ESP, then the next-layer payload | One IP header |
| Tunnel | ESP, then a whole inner IP packet | Outer and inner headers |
Con la confidencialidad seleccionada, la región protegida en modo túnel incluye esa cabecera IP interior, por lo que una captura no puede decirle los extremos reales sin claves. La cabecera exterior sigue siendo legible en ambos casos, y eso es lo que hace posible la resolución de problemas.
Pregunta uno: qué hay exactamente dentro de ESP
Mire el paquete que produce la aplicación y pregunte qué frontera lo protege. Si la respuesta es la carga útil de transporte entre dos direcciones que ya son correctas, el modo transporte encaja sin inventar una segunda cabecera. Si el contenido protegido necesita direcciones propias, porque los extremos reales difieren de los pares que transportan el tráfico, el modo túnel hace el trabajo. Ambos casos existen en la misma organización, por lo que una sola declaración de política rara vez lo cubre todo.
Esa pregunta se puede responder con una captura y una tabla de enrutamiento. No se puede responder con un dibujo que etiquete las cajas como cliente y servidor. Una captura tomada en cualquiera de los pares muestra en segundos cuál de los dos está mirando.
Pregunta dos: si ya hay un túnel dentro
L2TP es el contraejemplo histórico que lo demuestra. El servicio transporta PPP dentro de una sesión L2TP, e IPsec protege ese intercambio; la disposición especifica el modo transporte, con el modo túnel permitido como opción. El resultado visible es un túnel a nivel de servicio cuya protección exterior usa el modo transporte.
Así, la presencia de la palabra túnel en la descripción de un producto no dice nada sobre el modo de la capa que hay debajo. Anote qué pregunta lo resolvió, porque el siguiente revisor preguntará lo mismo. Lea la especificación de esa combinación en lugar de razonar a partir del nombre, ya que ese hábito evita la mayoría de las discusiones sobre qué debe admitir un producto.
Pregunta tres: qué requiere el par
Dos pares tienen que ponerse de acuerdo, y una propuesta que ofrece un modo mientras el otro exige el segundo falla durante la negociación en lugar de degradarse en silencio. Pregunte al propietario del extremo remoto qué modo nombra la política, y compruebe la propuesta en lugar del resumen de la documentación.
Los entornos mixtos son habituales: una pasarela termina sesiones de modo transporte para un producto heredado y sesiones de modo túnel para un enlace de sede. El modo es por asociación, no por dispositivo. Pida la lista de asociaciones en lugar del nombre de la función, porque el nombre viaja más rápido que la configuración.
Leer la asociación que existe
Para una revisión, enumere los pares, el modo, los selectores y el protocolo de la capa siguiente, y luego añada cualquier encapsulación envuelta alrededor del resultado. La traducción de direcciones añade su propia vista exterior y no es un modo; un flujo traducido puede seguir siendo cualquiera de los dos. La lista es el único artefacto que muestra la asociación tal como está instalada y no como se pretendía.
Termine con la pregunta de enrutamiento y autorización, porque una disposición de paquete correcta no le dice nada sobre qué subredes están permitidas ni si existe el camino de vuelta. Esas viven en la política y en la tabla de rutas, y ninguna de las dos cambia el argumento sobre el modo.