حالت انتقال یا تونل: بر پایه بسته تصمیم بگیرید، نه نمودار
انتقال و تونل توصیف می‌کنند چه چیزی درون ESP است، نه اینکه میزبان یا دروازه دخیل باشد. سه پرسش تعیین می‌کند یک استقرار به کدام حالت نیاز دارد.
نمودارهای کتاب‌های درسی حالت انتقال را با دو میزبان و حالت تونل را با دو دروازه جفت می‌کنند، و این قاعده تا نخستین استقراری که آن را می‌شکند دوام می‌آورد. حالت توصیف می‌کند بسته ESP چه چیزی را بسته‌بندی می‌کند، نه اینکه طرف‌ها چه کسانی هستند. یک دروازه می‌تواند ترافیک را در حالت انتقال محافظت کند، و دو میزبان می‌توانند در صورت انتخاب از حالت تونل استفاده کنند. سه پرسش تعیین می‌کند یک استقرار مشخص به چه چیزی نیاز دارد.
حالت یک چیدمان است، نه یک توپولوژی
در حالت انتقال، سرآیند ESP پس از سرآیند IP و پیش از بار لایه بعد می‌آید، پس سرآیند اصلی IP بیرون و نمایان می‌ماند. در حالت تونل، محتوای محافظت‌شده یک بسته کامل IP است، و یک سرآیند بیرونی تازه دو همتای IPsec را نام می‌برد.
| Mode | What follows the outer IP header | Headers a capture shows |
|---|---|---|
| Transport | ESP, then the next-layer payload | One IP header |
| Tunnel | ESP, then a whole inner IP packet | Outer and inner headers |
با انتخاب محرمانگی، ناحیه محافظت‌شده در حالت تونل شامل همان سرآیند درونی IP است، و به همین دلیل یک ثبت بسته بدون کلید نمی‌تواند نقاط پایانی واقعی را به شما بگوید. سرآیند بیرونی در هر دو حالت خوانا می‌ماند، و همین است که عیب‌یابی را اصلاً ممکن می‌کند.
پرسش یکم: دقیقاً چه چیزی درون ESP است
به بسته‌ای که برنامه تولید می‌کند نگاه کنید و بپرسید کدام مرز از آن محافظت می‌کند. اگر پاسخ بار انتقال میان دو نشانی است که از پیش درست هستند، حالت انتقال بدون ساختن سرآیند دوم مناسب است. اگر محتوای محافظت‌شده به نشانی‌های خودش نیاز دارد، چون نقاط پایانی واقعی با همتایانی که ترافیک را حمل می‌کنند تفاوت دارند، حالت تونل کار را انجام می‌دهد. هر دو حالت در یک سازمان وجود دارند، و به همین دلیل یک بیانیه سیاست به‌ندرت همه چیز را پوشش می‌دهد.
این پرسش را می‌توان از یک ثبت بسته و یک جدول مسیریابی پاسخ داد. نمی‌توان آن را از نقشه‌ای پاسخ داد که جعبه‌ها را کارخواه و کارساز نام می‌گذارد. یک ثبت بسته که در هر یک از دو طرف گرفته شود، در چند ثانیه نشان می‌دهد به کدام یک نگاه می‌کنید.
پرسش دوم: آیا از پیش تونلی درون آن هست
L2TP نمونه تاریخی معکوسی است که این نکته را روشن می‌کند. این سرویس PPP را درون یک نشست L2TP حمل می‌کند، و IPsec آن تبادل را محافظت می‌کند؛ این چیدمان حالت انتقال را مشخص می‌کند، با اجازه دادن به حالت تونل به‌عنوان یک گزینه. نتیجه نمایان یک تونل در سطح سرویس است که محافظت بیرونی آن از حالت انتقال استفاده می‌کند.
پس بودن واژه تونل در توصیف یک محصول چیزی درباره حالت لایه زیرین آن نمی‌گوید. بنویسید کدام پرسش این را روشن کرد، چون بازبین بعدی همین را خواهد پرسید. به‌جای استدلال از نام، مشخصات آن ترکیب را بخوانید، چون این عادت بیشتر بحث‌ها درباره اینکه یک محصول باید از چه چیزی پشتیبانی کند را جلو می‌گیرد.
پرسش سوم: همتا چه چیزی می‌خواهد
دو همتا باید توافق کنند، و پیشنهادی که یک حالت را عرضه می‌کند در حالی که طرف دیگر حالت دوم را می‌خواهد، در جریان مذاکره شکست می‌خورد نه اینکه بی‌صدا تنزل کند. از مالک انتهای دور بپرسید سیاست کدام حالت را نام می‌برد، و پیشنهاد را بررسی کنید نه خلاصه مستندات را.
محیط‌های مختلط رایج‌اند: یک دروازه نشست‌های حالت انتقال را برای یک محصول قدیمی و نشست‌های حالت تونل را برای یک پیوند سایت پایان می‌دهد. حالت به ازای هر انجمن است، نه به ازای هر دستگاه. فهرست انجمن‌ها را بخواهید نه نام ویژگی را، چون نام سریع‌تر از پیکربندی سفر می‌کند.
خواندن انجمنی که وجود دارد
برای یک بازبینی، همتاها، حالت، انتخابگرها و پروتکل لایه بعد را فهرست کنید، سپس هر درونه‌سازی که پیرامون نتیجه پیچیده شده را بیفزایید. ترجمه نشانی نمای بیرونی خودش را می‌افزاید و یک حالت نیست؛ یک جریان ترجمه‌شده هنوز می‌تواند هر یک از آن دو باشد. فهرست تنها اثری است که انجمن را همان‌گونه که نصب شده نشان می‌دهد، نه همان‌گونه که مقصود بوده.
با پرسش مسیریابی و مجوزدهی پایان دهید، چون چیدمان درست بسته چیزی درباره اینکه کدام زیرشبکه‌ها مجازند یا مسیر بازگشت وجود دارد نمی‌گوید. این‌ها در سیاست و در جدول مسیر زندگی می‌کنند، و هیچ‌کدام استدلال درباره حالت را تغییر نمی‌دهد.