Siirto- vai tunnelitila: ratkaise paketin, älä kaavion perusteella
Siirto ja tunneli kuvaavat, mitä ESP:n sisällä on, eivät sitä, onko mukana isäntä vai yhdyskäytävä. Kolme kysymystä ratkaisee, minkä tilan käyttöönotto tarvitsee.
Oppikirjojen kaaviot yhdistävät siirtotilan kahteen isäntään ja tunnelitilan kahteen yhdyskäytävään, ja tämä nyrkkisääntö pitää ensimmäiseen käyttöönottoon asti, joka rikkoo sen. Tila kuvaa, mitä ESP-paketti käärii sisäänsä, ei sitä, ketkä ovat osapuolet. Yhdyskäytävä voi suojata liikennettä siirtotilassa, ja isäntäpari voi käyttää tunnelitilaa, jos se niin valitsee. Kolme kysymystä ratkaisee, mitä tietty käyttöönotto tarvitsee.
Tila on asettelu, ei topologia
Siirtotilassa ESP-otsake tulee IP-otsakkeen jälkeen ja ennen seuraavan kerroksen hyötykuormaa, joten alkuperäinen IP-otsake jää ulkopuolelle ja näkyviin. Tunnelitilassa suojattu sisältö on täydellinen IP-paketti, ja uusi ulompi otsake nimeää kaksi IPsec-osapuolta.
| Mode | What follows the outer IP header | Headers a capture shows |
|---|---|---|
| Transport | ESP, then the next-layer payload | One IP header |
| Tunnel | ESP, then a whole inner IP packet | Outer and inner headers |
Kun luottamuksellisuus on valittu, tunnelitilan suojattu alue sisältää tuon sisemmän IP-otsakkeen, minkä vuoksi tallenne ei voi kertoa todellisia päätepisteitä ilman avaimia. Ulompi otsake pysyy luettavana kummassakin tapauksessa, ja juuri se tekee vianetsinnän ylipäätään mahdolliseksi.
Ensimmäinen kysymys: mitä ESP:n sisällä tarkalleen on
Katso pakettia, jonka sovellus tuottaa, ja kysy, mikä raja sitä suojaa. Jos vastaus on siirtokerroksen hyötykuorma kahden jo oikean osoitteen välillä, siirtotila sopii keksimättä toista otsaketta. Jos suojattu sisältö tarvitsee omat osoitteensa, koska todelliset päätepisteet eroavat liikennettä kantavista osapuolista, tunnelitila tekee työn. Molemmat tapaukset ovat olemassa samassa organisaatiossa, minkä vuoksi yksi käytäntölause harvoin kattaa kaiken.
Tähän kysymykseen voi vastata tallenteen ja reititystaulun perusteella. Siihen ei voi vastata piirroksen perusteella, joka nimeää laatikot asiakkaaksi ja palvelimeksi. Kummassa tahansa osapuolessa otettu tallenne näyttää sekunneissa, kumpaa kahdesta katsot.
Toinen kysymys: onko sisällä jo tunneli
L2TP on historiallinen vastaesimerkki, joka osoittaa asian. Palvelu kuljettaa PPP:tä L2TP-istunnon sisällä, ja IPsec suojaa tuon vaihdon; järjestely määrittää siirtotilan, ja tunnelitila sallitaan vaihtoehtona. Näkyvä tulos on palvelutason tunneli, jonka ulompi suojaus käyttää siirtotilaa.
Sana tunneli tuotekuvauksessa ei siis kerro mitään sen alla olevan kerroksen tilasta. Kirjaa, mikä kysymys sen ratkaisi, koska seuraava arvioija kysyy samaa. Lue kyseisen yhdistelmän määrittely sen sijaan, että päättelet nimestä, sillä tapa estää useimmat väittelyt siitä, mitä tuotteen on tuettava.
Kolmas kysymys: mitä vastapuoli vaatii
Kahden osapuolen on sovittava, ja ehdotus, joka tarjoaa yhtä tilaa samalla kun toinen vaatii toista, epäonnistuu neuvottelussa sen sijaan, että heikkenisi hiljaa. Kysy kauemman pään omistajalta, minkä tilan käytäntö nimeää, ja tarkista ehdotus, älä dokumentaation yhteenvetoa.
Sekakäyttöympäristöt ovat tavallisia: yksi yhdyskäytävä päättää siirtotilan istuntoja vanhalle tuotteelle ja tunnelitilan istuntoja toimipaikkalinkille. Tila on liittokohtainen, ei laitekohtainen. Pyydä liittojen luettelo, älä ominaisuuden nimeä, koska nimi matkustaa konfiguraatiota nopeammin.
Olemassa olevan liiton lukeminen
Arviointia varten luettele osapuolet, tila, valitsimet ja seuraavan kerroksen protokolla ja lisää sitten mikä tahansa tuloksen ympärille kääritty kapselointi. Osoitteenmuunnos lisää oman ulkoisen näkymänsä eikä ole tila; muunnettu virta voi yhä olla kumpi tahansa. Luettelo on ainoa artefakti, joka näyttää liiton asennettuna eikä aiottuna.
Lopeta reitityksen ja valtuutuksen kysymykseen, sillä oikea paketin asettelu ei kerro mitään siitä, mitkä aliverkot ovat sallittuja tai onko paluupolku olemassa. Ne elävät käytännössä ja reititystaulussa, eikä kumpikaan muuta väitettä tilasta.