Étiquetez le mode avant de comparer deux schémas de paquet VPN

Deux schémas peuvent être tous deux corrects et sembler différents, parce qu'ils peuvent décrire des paquets différents. Un message de négociation et un paquet de données applicatives ne partagent pas la même disposition, même au sein d'une seule session, et le mode transport et le mode tunnel non plus. Comparer des dessins sans indiquer quel paquet et quel mode chacun représente produit une dispute sur des en-têtes qui n'auraient jamais dû correspondre. Quatre étiquettes règlent la question avant que la comparaison commence.

Écrivez l'implémentation et le mode, le canal, le transport extérieur et la charge utile transportée à côté de chaque dessin.

Le mode transport et le mode tunnel déplacent l'en-tête différemment

En mode transport, l'ESP se place après l'en-tête IP et avant le protocole transporté, de sorte que l'en-tête IP d'origine reste hors de la protection. En mode tunnel, un nouvel en-tête IP extérieur adresse les deux pairs IPsec et le paquet intérieur protégé conserve son propre en-tête IP. Les deux sont définis dans la RFC 4303 et les deux sont corrects pour leur mode. Un croquis simplifié qui omet la queue et les champs d'intégrité convient pour le placement et ne sert à rien pour compter les octets.

Transport ne signifie pas spécifiquement TCP ou UDP. Le protocole de la couche suivante transporté peut être n'importe quoi, et un schéma qui assimile le mode transport à un seul protocole a discrètement ajouté une hypothèse.

Les messages de contrôle ne sont pas des messages de données

L2TP sépare deux types de messages : les messages de données qui transportent des trames PPP, et les messages de contrôle qui établissent, maintiennent et démontent le tunnel et ses appels. Le canal de contrôle est fiable, tandis que les messages de données perdus ne sont tout simplement pas retransmis par L2TP. Un dessin contenant PPP peut donc décrire la charge utile qu'un message de données transporte, et non un en-tête que toute session protégée doit inclure. Combiner L2TP avec une protection ajoute la disposition de sécurité choisie par-dessus et ne rend pas tous les messages identiques.

Si un schéma affirme que les deux types de messages se ressemblent, il décrit un autre protocole ou une autre portée.

Comparez des points de capture équivalents

Une capture sur l'interface extérieure montre les en-têtes de protection et de transport ; une capture intérieure, prise après la désencapsulation, montre le paquet transporté. Ni l'une ni l'autre n'est fausse, et comparer l'une à l'autre fait paraître des en-têtes manquants ou dupliqués. L'encapsulation UDP, telle que définie pour le passage NAT, ajoute une autre couche extérieure qu'un schéma d'ESP natif n'aura pas. Les deux dessins peuvent être des descriptions valides de dispositions de transport différentes.

Indiquez le point de capture avec le schéma et comparez des messages équivalents dans des modes équivalents. Un en-tête manquant n'est une preuve de défaut que lorsque les deux dessins revendiquent le même point et le même type de paquet.

Gardez les étiquettes avec le dessin

Un schéma sans étiquettes vieillit mal, parce que le lecteur suivant y ajoute ses propres hypothèses. Ajoutez les quatre étiquettes, marquez la limite de protection et notez si le dessin sert au placement ou au dimensionnement. S'il sert au dimensionnement, utilisez la spécification complète plutôt qu'un croquis. Le coût des étiquettes est d'une minute ; le coût de la dispute qu'elles évitent est d'un après-midi.

Quand deux documents se contredisent, comparez d'abord leurs étiquettes. Un désaccord au niveau du mode ou du canal explique entièrement la différence, et aucun en-tête ne manque réellement.

Notez quel paquet, quel mode et quel point de capture le dessin montre. Cette note est l'autre moitié du schéma.