Etiqueta el modo antes de comparar dos diagramas de paquetes VPN

Dos diagramas pueden ser correctos y verse distintos, porque pueden describir paquetes diferentes. Un mensaje de negociación y un paquete de datos de aplicación no comparten el mismo diseño, ni siquiera dentro de una sesión, y el modo de transporte y el modo de túnel tampoco. Comparar dibujos sin indicar qué paquete y qué modo representa cada uno produce una discusión sobre cabeceras que nunca debían coincidir. Cuatro etiquetas lo resuelven antes de que empiece la comparación.

Escribe la implementación y el modo, el canal, el transporte exterior y la carga útil transportada junto a cada dibujo.

El modo de transporte y el modo de túnel mueven la cabecera de forma distinta

En el modo de transporte, ESP se sitúa después de la cabecera IP y antes del protocolo transportado, así que la cabecera IP original queda fuera de la protección. En el modo de túnel, una nueva cabecera IP exterior direcciona a los dos pares IPsec y el paquete interior protegido conserva su propia cabecera IP. Ambos están definidos en RFC 4303 y ambos son correctos para su modo. Un esquema simplificado que omite el tráiler y los campos de integridad sirve para la ubicación y es inútil para contar bytes.

Transporte no significa específicamente TCP o UDP. El protocolo de la capa siguiente transportado puede ser cualquiera, y un diagrama que equipara el modo de transporte con un solo protocolo ha añadido una suposición sin decirlo.

Los mensajes de control no son mensajes de datos

L2TP separa dos tipos de mensajes: mensajes de datos que transportan tramas PPP y mensajes de control que establecen, mantienen y desmontan el túnel y sus llamadas. El canal de control es fiable, mientras que los mensajes de datos perdidos simplemente no son retransmitidos por L2TP. Por eso un dibujo que contiene PPP puede describir la carga útil que transporta un mensaje de datos, no una cabecera que toda sesión protegida deba incluir. Combinar L2TP con protección añade la disposición de seguridad elegida encima y no hace idénticos todos los mensajes.

Si un diagrama afirma que ambos tipos de mensaje se ven iguales, está describiendo otro protocolo u otro alcance.

Compare puntos de captura equivalentes

Una captura en la interfaz exterior muestra las cabeceras de protección y de transporte; una captura interior, tomada tras la desencapsulación, muestra el paquete transportado. Ninguna es incorrecta, y comparar una con la otra hace que las cabeceras parezcan ausentes o duplicadas. La encapsulación UDP, tal como se define para el tránsito NAT, añade otra capa exterior que un dibujo de ESP nativo no tendrá. Ambos dibujos pueden ser descripciones válidas de disposiciones de transporte diferentes.

Indica el punto de captura con el diagrama y compara mensajes equivalentes en modos equivalentes. Una cabecera ausente solo es prueba de un fallo cuando ambos dibujos afirman el mismo punto y el mismo tipo de paquete.

Mantén las etiquetas con el dibujo

Un diagrama sin etiquetas envejece mal, porque el siguiente lector aporta sus propias suposiciones. Añade las cuatro etiquetas, marca el límite de protección y anota si el dibujo es para ubicación o para dimensionamiento. Si es para dimensionamiento, usa la especificación completa en lugar de un esquema. El coste de las etiquetas es un minuto; el coste de la discusión que evitan es una tarde.

Cuando dos documentos no coinciden, compara primero sus etiquetas. Una discrepancia en el nivel de modo o de canal explica la diferencia por completo, y ninguna cabecera falta en realidad.

Registra qué paquete, qué modo y qué punto de captura muestra el dibujo. Ese registro es la otra mitad del diagrama.