Transpordi- või tunnelirežiim: otsusta paketi, mitte joonise järgi
Transport ja tunnel kirjeldavad, mis on ESP sees, mitte kas kaasatud on host või lüüs. Kolm küsimust otsustavad, millist režiimi juurutus vajab.
Õpikujoonised seovad transpordirežiimi kahe hostiga ja tunnelirežiimi kahe lüüsiga ning see rusikareegel peab vastu kuni esimese juurutuseni, mis selle murrab. Režiim kirjeldab, mida ESP pakett mähkib, mitte kes on osapooled. Lüüs võib kaitsta liiklust transpordirežiimis ja hostipaar võib kasutada tunnelirežiimi, kui nii otsustab. Kolm küsimust otsustavad, mida konkreetne juurutus vajab.
Režiim on paigutus, mitte topoloogia
Transpordirežiimis läheb ESP päis IP päise järel ja enne järgmise kihi kasulikku koormust, seega jääb algne IP päis väljapoole ja nähtavaks. Tunnelirežiimis on kaitstud sisu terviklik IP pakett ja uus välimine päis nimetab kaks IPsec osapoolt.
| Mode | What follows the outer IP header | Headers a capture shows |
|---|---|---|
| Transport | ESP, then the next-layer payload | One IP header |
| Tunnel | ESP, then a whole inner IP packet | Outer and inner headers |
Konfidentsiaalsuse valimisel hõlmab kaitstud ala tunnelirežiimis ka seda sisemist IP päist, mistõttu ei saa salvestis ilma võtmeteta teile tegelikke lõpp-punkte öelda. Välimine päis jääb mõlemal juhul loetavaks ja just see teebki tõrkeotsingu üldse võimalikuks.
Esimene küsimus: mis täpselt on ESP sees
Vaadake paketti, mille rakendus loob, ja küsige, milline piir seda kaitseb. Kui vastuseks on transpordi kasulik koormus kahe juba õige aadressi vahel, sobib transpordirežiim ilma teist päist leiutamata. Kui kaitstud sisu vajab oma aadresse, sest tegelikud lõpp-punktid erinevad liiklust kandvatest osapooltest, teeb töö ära tunnelirežiim. Mõlemad juhtumid esinevad samas organisatsioonis, mistõttu üks poliitikaavaldus katab harva kõike.
Sellele küsimusele saab vastata salvestise ja marsruutimistabeli põhjal. Sellele ei saa vastata joonise põhjal, mis märgib kaste kliendiks ja serveriks. Ükskõik kummas osapoole juures tehtud salvestis näitab sekunditega, kumba kahest te vaatate.
Teine küsimus: kas sees on juba tunnel
L2TP on ajalooline vastunäide, mis seda näitab. Teenus kannab PPP-d L2TP sessiooni sees ja IPsec kaitseb seda vahetust; paigutus määrab transpordirežiimi, kusjuures tunnelirežiim on valikuna lubatud. Nähtav tulemus on tunnel teenuse tasandil, mille välimine kaitse kasutab transpordirežiimi.
Seega ei ütle sõna tunnel tootekirjelduses midagi selle all oleva kihi režiimi kohta. Kirjutage üles, milline küsimus selle otsustas, sest järgmine ülevaataja küsib sama. Lugege selle kombinatsiooni spetsifikatsiooni, selle asemel et nimest järeldada, sest see harjumus hoiab ära enamiku vaidlusi selle üle, mida toode peab toetama.
Kolmas küsimus: mida nõuab osapool
Kaks osapoolt peavad kokku leppima, ja ettepanek, mis pakub ühte režiimi, samal ajal kui teine nõuab teist, ebaõnnestub läbirääkimiste ajal, selle asemel et vaikselt halveneda. Küsige kaugema otsa omanikult, millist režiimi poliitika nimetab, ja kontrollige ettepanekut, mitte dokumentatsiooni kokkuvõtet.
Segakeskkonnad on tavalised: üks lüüs lõpetab transpordirežiimi sessioonid vana toote jaoks ja tunnelirežiimi sessioonid saidiühenduse jaoks. Režiim on assotsiatsiooni, mitte seadme kohta. Küsige assotsiatsioonide loetelu, mitte funktsiooni nime, sest nimi liigub kiiremini kui konfiguratsioon.
Olemasoleva assotsiatsiooni lugemine
Ülevaatuse jaoks loetlege osapooled, režiim, selektorid ja järgmise kihi protokoll, seejärel lisage mis tahes kapseldus, mis on tulemuse ümber keritud. Aadressitõlge lisab oma välimise vaate ega ole režiim; tõlgitud voog võib endiselt olla kumb tahes. Loetelu on ainus artefakt, mis näitab assotsiatsiooni paigaldatuna, mitte kavatsetuna.
Lõpetage marsruutimise ja autoriseerimise küsimusega, sest korrektne paketi paigutus ei ütle teile midagi selle kohta, millised alamvõrgud on lubatud või kas vastustee on olemas. Need elavad poliitikas ja marsruutimistabelis ning kumbki ei muuda argumenti režiimi kohta.