Mode transport ou tunnel : décidez d’après le paquet, pas d’après le schéma
Transport et tunnel décrivent ce qui se trouve dans ESP, pas si un hôte ou une passerelle est impliqué. Trois questions déterminent le mode dont un déploiement a besoin.
Les schémas des manuels associent le mode transport à deux hôtes et le mode tunnel à deux passerelles, et cette règle tient jusqu’au premier déploiement qui la casse. Le mode décrit ce que le paquet ESP enveloppe, pas qui sont les pairs. Une passerelle peut protéger le trafic en mode transport, et une paire d’hôtes peut utiliser le mode tunnel si elle le choisit. Trois questions déterminent ce dont un déploiement précis a besoin.
Le mode est une disposition, pas une topologie
En mode transport, l’en-tête ESP vient après l’en-tête IP et avant la charge utile de la couche suivante, si bien que l’en-tête IP d’origine reste à l’extérieur et visible. En mode tunnel, le contenu protégé est un paquet IP complet, et un nouvel en-tête extérieur nomme les deux pairs IPsec.
| Mode | What follows the outer IP header | Headers a capture shows |
|---|---|---|
| Transport | ESP, then the next-layer payload | One IP header |
| Tunnel | ESP, then a whole inner IP packet | Outer and inner headers |
Lorsque la confidentialité est choisie, la zone protégée en mode tunnel inclut cet en-tête IP intérieur, ce qui explique qu’une capture ne puisse pas révéler les vrais points de terminaison sans clés. L’en-tête extérieur reste lisible dans les deux cas, et c’est précisément ce qui rend le dépannage possible.
Première question : qu’y a-t-il exactement dans ESP
Regardez le paquet que produit l’application et demandez quelle frontière le protège. Si la réponse est la charge utile de transport entre deux adresses déjà correctes, le mode transport convient sans inventer un second en-tête. Si le contenu protégé a besoin de ses propres adresses, parce que les vrais points de terminaison diffèrent des pairs qui portent le trafic, le mode tunnel fait le travail. Les deux cas existent dans la même organisation, et c’est pourquoi une seule déclaration de politique couvre rarement tout.
Cette question se répond à partir d’une capture et d’une table de routage. Elle ne se répond pas à partir d’un dessin qui étiquette les boîtes en client et serveur. Une capture prise chez l’un ou l’autre pair montre en quelques secondes lequel des deux vous regardez.
Deuxième question : y a-t-il déjà un tunnel à l’intérieur
L2TP est le contre-exemple historique qui illustre le propos. Le service transporte PPP dans une session L2TP, et IPsec protège cet échange ; la disposition spécifie le mode transport, le mode tunnel étant permis comme option. Le résultat visible est un tunnel au niveau du service dont la protection extérieure utilise le mode transport.
La présence du mot tunnel dans la description d’un produit ne dit donc rien du mode de la couche située en dessous. Notez quelle question a tranché, car le prochain relecteur posera la même. Lisez la spécification de cette combinaison plutôt que de raisonner à partir du nom, car cette habitude évite la plupart des discussions sur ce qu’un produit doit prendre en charge.
Troisième question : que requiert le pair
Deux pairs doivent s’accorder, et une proposition qui offre un mode alors que l’autre exige le second échoue pendant la négociation au lieu de se dégrader en silence. Demandez au propriétaire de l’extrémité distante quel mode la politique nomme, et vérifiez la proposition plutôt que le résumé de la documentation.
Les environnements mixtes sont courants : une passerelle termine des sessions en mode transport pour un produit ancien et des sessions en mode tunnel pour une liaison de site. Le mode est par association, pas par appareil. Demandez la liste des associations plutôt que le nom de la fonction, car le nom circule plus vite que la configuration.
Lire l’association qui existe
Pour une revue, listez les pairs, le mode, les sélecteurs et le protocole de la couche suivante, puis ajoutez toute encapsulation enveloppée autour du résultat. La traduction d’adresses ajoute sa propre vue extérieure et n’est pas un mode ; un flux traduit peut toujours être l’un ou l’autre. La liste est le seul artefact qui montre l’association telle qu’elle est installée et non telle qu’elle était prévue.
Terminez par la question du routage et de l’autorisation, car une disposition de paquet correcte ne vous dit rien sur les sous-réseaux autorisés ni sur l’existence du chemin de retour. Ceux-ci vivent dans la politique et dans la table de routage, et ni l’un ni l’autre ne change l’argument sur le mode.