Ferfier- of tunnelmodus: beslute op grûn fan it pakket, net fan it diagram
Ferfier en tunnel beskriuwe wat binnen ESP sit, net oft in host of in gateway belutsen is. Trije fragen bepale hokker modus in útrôljen nedich hat.
Diagrammen út learboeken keppelje ferfiermodus oan twa hosts en tunnelmodus oan twa gateways, en dy regel hâldt oant de earste útrôljen dy’t him brekt. De modus beskriuwt wat it ESP-pakket omfettet, net wa’t de partijen binne. In gateway kin ferkear yn ferfiermodus beskermje, en in pear hosts kin tunnelmodus brûke as it dat kiest. Trije fragen bepale wat in beskate útrôljen nedich hat.
De modus is in yndieling, net in topology
Yn ferfiermodus komt de ESP-kop nei de IP-kop en foar de lading fan ’e folgjende laach, sadat de oarspronklike IP-kop bûten en sichtber bliuwt. Yn tunnelmodus is de beskerme ynhâld in folslein IP-pakket, en in nije bûtenste kop neamt de twa IPsec-partijen.
| Mode | What follows the outer IP header | Headers a capture shows |
|---|---|---|
| Transport | ESP, then the next-layer payload | One IP header |
| Tunnel | ESP, then a whole inner IP packet | Outer and inner headers |
Mei fertroulikens keazen omfettet it beskerme gebiet yn tunnelmodus dy binnenste IP-kop, wêrtroch’t in opname sûnder kaaien de echte einpunten net fertelle kin. De bûtenste kop bliuwt yn beide gefallen lêsber, en dat is krekt wat it oplossen fan problemen mooglik makket.
Fraach ien: wat sit der krekt yn ’e ESP
Sjoch nei it pakket dat de applikaasje makket en freegje hokker grins it beskermet. As it antwurd de ferfierlading is tusken twa adressen dy’t al korrekt binne, past ferfiermodus sûnder in twadde kop te betinken. As de beskerme ynhâld eigen adressen nedich hat, om’t de echte einpunten ferskille fan ’e partijen dy’t it ferkear drage, docht tunnelmodus it wurk. Beide gefallen besteane yn deselde organisaasje, en dêrom beslacht ien beliedsferklearring selden alles.
Dy fraach is te beäntwurdzjen út in opname en in rûteleabel. Hy is net te beäntwurdzjen út in tekening dy’t fakken kliïnt en tsjinner neamt. In opname by ien fan ’e partijen lit binnen sekonden sjen hokker fan ’e beide jo sjogge.
Fraach twa: sit der al in tunnel binnenyn
L2TP is it histoaryske tsjinfoarbyld dat it punt makket. De tsjinst draacht PPP binnen in L2TP-sesje, en IPsec beskermet dy útwikseling; de regeling spesifisearret ferfiermodus, mei tunnelmodus tastien as opsje. It sichtbere resultaat is in tunnel op tsjinstnivo wêrfan’t de bûtenste beskerming ferfiermodus brûkt.
Dat betsjut dat it wurd tunnel yn in produktbeskriuwing neat seit oer de modus fan ’e laach derûnder. Skriuw op hokker fraach dat besliste, want de folgjende beoardieler sil itselde freegje. Lês de spesifikaasje foar dy kombinaasje ynstee fan út de namme te riddenearjen, want dy gewoante foarkomt de measte diskusjes oer wat in produkt stypje moat.
Fraach trije: wat freget de oare partij
Twa partijen moatte it iens wurde, en in foarstel dat ien modus biedt wylst de oare de twadde easket, mislearret by de ûnderhanneling ynstee fan stil te degradearjen. Freegje de eigner fan it fiere ein hokker modus it belied neamt, en kontrolearje it foarstel ynstee fan ’e dokumintaasjesamfetting.
Mingde omjouwings binne gewoan: ien gateway beëiniget sesjes fan ferfiermodus foar in âld produkt en sesjes fan tunnelmodus foar in sidekeppeling. De modus is per assosjaasje, net per apparaat. Freegje om ’e assosjaasjelist ynstee fan ’e funksjenamme, want de namme reizget flugger as de konfiguraasje.
Lêze fan ’e assosjaasje dy’t bestiet
Foar in resinsje: list de partijen, de modus, de selektors en it protokol fan ’e folgjende laach op, en foegje dan alle ynkapseling ta dy’t om it resultaat wikkel is. Adresoersetting foeget syn eigen bûtenkant ta en is gjin modus; in oersetten stream kin noch altyd ien fan ’e beide wêze. De list is it iennige artefakt dat de assosjaasje sjen lit lykas er ynstallearre is, net lykas er bedoeld wie.
Einigje mei de fraach oer rûteleasing en autosisearring, want in korrekte pakketyndieling fertelt jo neat oer hokker subnetten tastien binne of oft it antwurdpaad bestiet. Dy libje yn it belied en yn ’e rûteleabel, en gjin fan beide feroaret it argumint oer de modus.