AH of ESP? Beslis op grûn fan wat it pakket beskermje moat

Twa IPsec-foarstellen kinne deselde SHA-basearre yntegriteitsalgoritme neame en dochs ferskate beskermingsprotokollen freegje; AH en ESP binne net twa staveringen fan ien ferifikaasje-ynstelling. Les earst it protokol, dan syn algoritmen, dan syn modus, en it measte fan de ondudlikheid ferdwynt. AH ferifiearret it pakket, ynklusyf de IP-kopfjilden dy onderweis net feroarje, wylst ESP ferifiearret en fersiferelet wat it ynkapsellet en de butenkop gewurde lit. Dat ferskil beslist oer mear utrullingen as hokker hashnamme dan ek.

Wat AH dekt en ESP net

AH jout yntegriteit, ferifikaasje fan de oarsprong fan gegevens en de tsjin-herhellingstsjinst dy it sels definiearret, en gjin fertroulikheid. De dekking omfettet gegevens fan de boppeste laach en de IP-kopfjilden dy syn regels as unferoarlik beskogje, krekt it diel dat ESP yn transportmodus butendoar lit. As in eask seit dat de IP-kop sels ferifiearre wurde moat, is AH it protokol dat dêrop antwurdet.

Dy dekking is ek de reden dat AH yn de praktyk brekber is. Feroarlike fjilden lykas TTL, de kontrolesom fan de kop en guon opsjes kinne net ferifiearre wurde, om t routers se oerskriuwe meie, dêrom set it protokol se op nul foardat de kontrole berekkene wurdt. Alles wat adressen oerskriuwt, brekt dus de berekkening, net allinnich it belied.

NAT makket de kar ta in beheining

Adresfertaling skriuwt de boarne of it doel oer yn de IP-kop dy AH krekt ferifiearre hat, dus falt de yntegriteitskontrole oan de oare kant, en it falt as in protokolfout en net as in lesber berjocht. ESP ferifiearret de butenkop net, dêrom wurket ESP mei NAT-trochgong en AH efter NAT net. In tunnel mei beide kanten efter gewoane routers is krekt it plak dêr t dit it earst ferskynt. De earste fraach is dus net hokker protokol sterker is, mar oft der in oersetter tusken de kanten sit.

As dat sa is, falt AH of, en it petear giet nei ESP en syn algoritmekar. Dat is in beheining en gjin foarkar, dêrom heart it oan it begjin fan de beslissing en net oan it ein.

De modus fermannichfaldiget de fraach

ESP yn transportmodus beskermet de lading fan de boppeste laach en lit de IP-kop gewurde; yn tunnelmodus ynkapsellet it it hiele binnenpakket, ynklusyf de binnenste IP-kop, en beskermet dat. AH hat deselde twa modi, dus AH of ESP binne eins fjouwer kombinaasjes foardat hokker algoritme dan ek keazen wurdt.

ESP-algoritmen yn kombinearre modus beslisse dan de yntegriteit sûnder in twadde protokol. AES-GCM en ChaCha20-Poly1305 ferifiearje en fersiferje yn ien konstruksje, dus AH derop tafoegje keapet neat mar kostet in ekstra kop en in ekstra onderhanneling. De arsjitektuer lit AH en ESP tegearre ta, en de praktyske fraach is oft jo gateway en jo ferzje de kombinaasje stypje en oft immen dy letter onderhalde kin.

De earlike ferfanging foar allinnich AH

De ESP-fariant mei allinnich yntegriteit hal dt it algoritme en lit de fersiferingsbewearing falle ynstee fan dy te fingerjen, en hy komt troch NAT. As in ald ontwerp AH brûkte om t ferifikaasje sûnder fertroulikheid nedich wie, is dy fariant de direkte oersetting, net in fersiferele tunnel mei in notysje derby.

ESP sjen yn in foarstel is ek gjin bewiis fan fersifering. Les it fersiferingsalgoritme: in NULL-ynfier betsjut allinnich yntegriteit, en in ynfier yn kombinearre modus betsjut beide.

Beslis yn trije fragen

Freegje oft fertroulikheid nedich is, oft der in oersetter op it paad is, en hokker kopfjilden ferifiearre wurde moatte. Dy trije antwurden wize op ien protokol en ien modus, en se opskriuwe kostet minder tiid as letter de RFCs opnij leze.

Ferifiearje dan wat akseptearre is en net wat foarsteld is. ip xfrm state toant protokol, modus en algoritmen fan de ynstalleare assosjaasje, en in ofwiking ynstallearret neat, wat in skjinner mislearring is as in tunnel dy t omheech komt sûnder de bedoelde beskerming.

Hal d ferifikaasjefouten, dekkings fan selektors en routeringsfouten apart fan dizze kar. Se jouwe ferskate symptomen, en it protokol de skuld jaan fan in selektorprobleem is in betroubere manier om in dei te besteegjen oan it feroarjen fan hashes sûnder reden.