IPsec bi hosten artean: non hasten eta non amaitzen da babesa
Host pare batek hautatutako fluxuak babes ditzake atebiderik gabe. Zehaztu muturrak, trafikoa hautatzen duen politika eta bereiziak izaten jarraitzen duten baimenak.
Host pare bateko babesa segurtasun-elkarteak amaitzen duen tokian hasten da, eta hori da atebide-formako intuizioak gehienetan ahazten duen egitatea. Aplikazio-zerbitzari batek eta bere datu-base zerbitzariak beren elkarrizketa zuzenean babes dezakete, urruneko sarbideko kontzentratzailerik biderik gabe, eta babes-muga orduan host bakoitzaren barruan kokatzen da, suebaki batean beharrean. Horrek lortzen duena hautatutako fluxuetarako muturretik muturrerako estaldura da. Lortzen ez duena zein errenkada nori irakurtzea dagokion erabakia da.
Muga SA amaitzen den tokian dago
RFC 4301 arauak garraio-moduko segurtasun-elkarteak deskribatzen ditu host pare baten artean muturretik muturrerako babeserako normalean erabiltzen den antolamendutzat. Bi host horiek gakoak dituzte, eta bakoitzak erabakitzen du zein paketek sartzen diren elkartean. Atebide-tunel bat guztiz beste leku batean amaitzen da eta hostera barneko segmentu gehigarri baten bidez iristen da, eta hori beste konfiantza-muga bat da, paketea bere bidearen zatirik handienean zifratuta dagoenean ere.
Host-host eta garraio-modua ez dira sinonimoak, ordea. Bi hostek berdin eraiki dezakete elkarren artean tunel-moduko elkarte bat, beraz hautatu lehenengo modua eta gero deskribatu muturrak. Idatzi biak diseinu-oharrean pareen helbideen ondoan, modua soilik ezagutzen duen berrikusle batek bestea suposatuko baitu.
SPDak erabakitzen du babesa, ibilbideak norabidea
Bideratze-taulak pakete bat nora doan erantzuten du. Segurtasun-politikaren datu-baseak hautatutako trafikoak babes-muga nola zeharkatzen duen erantzuten du, eta norabide bakoitzeko egiten du bere hautatzaileekin. Bereizketa hori da datu-baserako ibilbide funtzionalak ez duela ezer frogatzen eskaera babestuta zegoen ala ez, eta negoziazio bat ezarriak ez duela ezer frogatzen aplikazio zehatz honek harekin bat egin zuen ala ez. Konparatu hautatzaileak kontagailuak konparatu aurretik, kontagailuek hain urrun iritsi ziren fluxuak soilik deskribatzen baitituzte.
Linuxen, ip xfrm policy aginduak sarrera horiek inprimatzen ditu norabidearekin, lehentasunarekin, hautatzailearekin eta baimendu, blokeatu edo harrapatu ekintzarekin, eta ip xfrm state aginduak ondoriozko elkarteak eta haien kontagailuak erakusten ditu. Biak elkarrekin irakurtzea da tunela isilka saihestu zuen fluxua aurkitzea, baimen-sarrera zabalago bat lehenengo bat etorri zelako.
Lehentasun-ordena politikaren parte da, ez inplementazioaren xehetasuna. Datu-basearen ataka babestu beharko lukeen sarrera estuak lehentasun handiagoko sarrera zabalago baten aurka galtzen du, eta hutsegiteak politikari inoiz galdegin ez zitzaion itxura du.
Garraio-moduak hurrengo geruza estaltzen du, ez IP goiburua
| Transport mode | Tunnel mode | |
|---|---|---|
| Original IP header | kept for routing the flow | replaced by an outer header |
| What ESP protects | the carried next-layer payload | the whole inner IP packet |
| Where it terminates | commonly the two hosts | gateway pair, or a host pair |
Garraio-moduan ESP goiburua IP goiburuaren eta karga erabilgarriaren artean dago, eta goiburu horren helbide-eremuak bideko gailu guztientzat ikusgai geratzen dira. Hori ondo dago helbideak sekretua ez direnean eta karga erabilgarria bai. Hautaketa okerra da barne-topologia ezkutatu behar baduzu ere, tunel-moduak soilik biltzen baitu jatorrizko goiburua berri baten barruan.
Bi moduek hurrengo geruzako hainbat protokolo eraman ditzakete, eta ESPk hautatzailearekin bat datorrena babestuko du, hostak bidaltzen duen guztia beharrean.
Hautaketa konexioa baino estuagoa da
Elkarte bakar batek hainbat fluxu eraman ditzake, baina politikak hautatzen dituenak soilik. Erregistratu pareen identitateak, iturburu- eta helburu-helbideak, protokoloa eta asmo duzun harremanaren zerbitzu-eremua, eta gero erabaki bereiz ea bat ez datorren trafikoak garbi joan daitekeen, babestu behar den edo baztertu behar den elkartea eskuragarri ez dagoenean. Azken erabaki horrek sortzen ditu ustekabeak, iturburu okerrarentzako babesa eskatzen duen arauak zure kudeaketa-sarbidea ustez kanpotar bat blokeatzen duen bezain eraginkortasunez blokea baitezake.
Mantendu onartutako banda kanpoko bide bat betearazpena aldatzen duzun bitartean, eta probatu behar duzun aurretik, bi hostak iristezin bihurtu ondoren probatu beharrean.
Makina-identitatea ez da aplikazioaren baimena
IPsec-ek konfiguratutako pare bat autentifikatzen du eta hautatutako paketeak babesten ditu. Ez du erabakitzen norberak zein datu-base erregistro editatu dezakeen, eta ez du zerbitzari-identitate fidagarri bat aplikazioaren pribilegio guztien emate bihurtzen. Aplikazio-kontuak, rolak eta baimenak zeuden lekuan bertan geratzen dira, eta aplikazio-mailako TLS baldintzak bere helburua mantentzen du sareko bidea jada babestuta dagoenean ere.
Onartu diseinua asmo den iturburutik egindako eragiketa batekin eta ukatu behar den beste batekin, eta sartu beharrezko elkartea ezarri ezin denean gertatzen dena. Ohiko irisgarritasun-proba batek paketeak mugitzen direla esaten dizu; ez dizu esaten idatzi zenuen politikaren arabera mugitu zirenik.