IPsec میان دو میزبان: حفاظت از کجا آغاز و کجا پایان می‌یابد
یک جفت میزبان می‌تواند جریان‌های برگزیده را بدون دروازه محافظت کند. نقاط پایانی، سیاستی که ترافیک را برمی‌گزیند و مجوزهایی را که جدا می‌مانند تعریف کنید.
حفاظت روی یک جفت میزبان از جایی آغاز می‌شود که انجمن امنیتی پایان می‌یابد، و همین واقعیت است که شهود شکل‌گرفته از دروازه‌ها بیشتر از همه از دست می‌دهد. یک سرور برنامه و سرور پایگاه داده آن می‌توانند گفتگوی خود را به‌طور مستقیم محافظت کنند، بدون هیچ تمرکزدهنده دسترسی از راه دور در مسیر، و مرز حفاظت آنگاه درون هر میزبان قرار می‌گیرد نه در دیوار آتش. آنچه این به شما می‌دهد پوشش سرتاسری برای جریان‌های برگزیده است. آنچه به شما نمی‌دهد تصمیمی درباره اینکه چه کسی می‌تواند کدام سطر را بخواند است.
مرز همان جایی است که SA پایان می‌یابد
RFC 4301 انجمن‌های امنیتی را در حالت انتقال به‌عنوان چیدمانی توصیف می‌کند که معمولاً میان یک جفت میزبان برای حفاظت سرتاسری به کار می‌رود. این دو میزبان کلیدها را نگه می‌دارند و هر یک تعیین می‌کند که کدام بسته‌های خودش به انجمن وارد شوند. تونل دروازه جایی کاملاً دیگر پایان می‌یابد و از طریق یک قطعه داخلی اضافی به میزبان می‌رسد، که مرز اعتماد دیگری است حتی وقتی بسته در بیشتر مسیرش رمزنگاری شده باشد.
میزبان‌به‌میزبان و حالت انتقال با این حال مترادف نیستند. دو میزبان می‌توانند به همان درستی یک انجمن در حالت تونل میان خود بسازند، پس نخست حالت را برگزینید و سپس نقاط پایانی را توصیف کنید. هر دو را در یادداشت طراحی کنار نشانی‌های همتا بنویسید، زیرا بازبینی‌کننده‌ای که فقط حالت را می‌شناسد دیگری را فرض خواهد کرد.
قاعده سیاست امنیتی درباره حفاظت تصمیم می‌گیرد، مسیر درباره جهت
جدول مسیریابی پاسخ می‌دهد که بسته به کجا می‌رود. پایگاه داده سیاست امنیتی پاسخ می‌دهد که ترافیک برگزیده چگونه از مرز حفاظت می‌گذرد، و این کار را برای هر جهت با گزینشگرهای خودش انجام می‌دهد. همین تفکیک سبب می‌شود که یک مسیر کارآمد به پایگاه داده هیچ چیزی درباره محافظت‌شده بودن درخواست اثبات نکند، و سبب می‌شود که یک مذاکره برقرارشده هیچ چیزی را اثبات نکند درباره اینکه آیا این برنامه خاص با آن منطبق بوده است. پیش از مقایسه شمارنده‌ها گزینشگرها را مقایسه کنید، زیرا شمارنده‌ها فقط جریان‌هایی را توصیف می‌کنند که تا این حد رسیده‌اند.
در Linux، فرمان ip xfrm policy آن مدخل‌ها را با جهت، اولویت، گزینشگر و کنش اجازه، مسدودسازی یا تله‌گذاری چاپ می‌کند، در حالی که ip xfrm state انجمن‌های حاصل و شمارنده‌هایشان را نشان می‌دهد. خواندن این دو با هم راهی است برای یافتن جریانی که بی‌صدا از تونل عبور کرد چون یک مدخل اجازه گسترده‌تر نخست منطبق شده بود.
ترتیب اولویت بخشی از سیاست است نه جزئیات پیاده‌سازی. مدخل باریکی که باید از درگاه پایگاه داده محافظت کند به مدخل گسترده‌تری با اولویت بالاتر می‌بازد، و شکست طوری به نظر می‌رسد که گویا هرگز از سیاست پرسیده نشده است.
حالت انتقال لایه بعدی را پوشش می‌دهد، نه سرآیند IP
| Transport mode | Tunnel mode | |
|---|---|---|
| Original IP header | kept for routing the flow | replaced by an outer header |
| What ESP protects | the carried next-layer payload | the whole inner IP packet |
| Where it terminates | commonly the two hosts | gateway pair, or a host pair |
در حالت انتقال سرآیند ESP میان سرآیند IP و بار مفید قرار می‌گیرد، و فیلدهای نشانی آن سرآیند برای هر دستگاهی در مسیر قابل مشاهده می‌مانند. این وقتی خوب است که نشانی‌ها راز نیستند و بار مفید راز است. اگر لازم است توپولوژی داخلی را هم پنهان کنید، این انتخاب نادرست است، زیرا تنها حالت تونل سرآیند اصلی را درون سرآیند تازه‌ای می‌پیچد.
هر دو حالت می‌توانند چندین پروتکل لایه بعدی را حمل کنند، و ESP آنچه را گزینشگر با آن منطبق است محافظت می‌کند نه هر چیزی که میزبان می‌فرستد.
گزینش از اتصال باریک‌تر است
یک انجمن می‌تواند چندین جریان را حمل کند، اما فقط آنهایی را که سیاست برمی‌گزیند. هویت همتاها، نشانی‌های مبدأ و مقصد، پروتکل و دامنه سرویس برای رابطه‌ای که در نظر دارید را ثبت کنید، سپس جداگانه تصمیم بگیرید که آیا ترافیک نامنطبق می‌تواند آشکارا عبور کند، باید محافظت شود، یا باید کنار گذاشته شود وقتی انجمن در دسترس نیست. همین تصمیم آخر است که شگفتی می‌آفریند، زیرا قاعده‌ای که حفاظت را برای مبدأ نادرست می‌خواهد می‌تواند دسترسی مدیریتی خودتان را به همان اندازه مؤثر مسدود کند که یک مهاجم را مسدود می‌کند.
تا زمانی که اجرا را تغییر می‌دهید یک مسیر بیرون‌باند تأییدشده نگه دارید، و آن را پیش از نیاز آزمون کنید نه پس از آنکه هر دو میزبان غیرقابل دسترس شوند.
هویت ماشین مجوز برنامه نیست
IPsec همتای پیکربندی‌شده را احراز هویت می‌کند و بسته‌های برگزیده را محافظت می‌کند. این تعیین نمی‌کند که یک شخص کدام رکورد پایگاه داده را ویرایش کند، و هویت مورد اعتماد سرور را به اعطای همه امتیازهای برنامه تبدیل نمی‌کند. حساب‌ها، نقش‌ها و مجوزهای برنامه دقیقاً همان‌جا می‌مانند که بودند، و الزام TLS در سطح برنامه هدف خود را حفظ می‌کند حتی وقتی مسیر شبکه از پیش محافظت‌شده است.
طراحی را با یک عملیات از مبدأ مورد نظر و یکی که باید رد شود بپذیرید، و آنچه را روی می‌دهد وقتی انجمن لازم برقرار نمی‌شود در آن بگنجانید. یک آزمون دسترسی معمولی به شما می‌گوید که بسته‌ها حرکت می‌کنند؛ نمی‌گوید که زیر سیاستی که نوشتید حرکت کرده‌اند.