બે હોસ્ટ વચ્ચે IPsec: સુરક્ષા ક્યાં શરૂ થાય છે અને ક્યાં અટકે છે
હોસ્ટની જોડી ગેટવે વિના પસંદ કરેલા પ્રવાહોનું રક્ષણ કરી શકે છે. અંતિમ બિંદુઓ, ટ્રાફિક પસંદ કરતી નીતિ અને અલગ રહેતી પરવાનગીઓ વ્યાખ્યાયિત કરો.
હોસ્ટની જોડી પર સુરક્ષા ત્યાં શરૂ થાય છે જ્યાં સુરક્ષા સહયોગ પૂરો થાય છે, અને આ જ એ હકીકત છે જેને ગેટવે આકારની અંતર્દૃષ્ટિ સૌથી વધુ ચૂકી જાય છે. એક એપ્લિકેશન સર્વર અને તેનું ડેટાબેઝ સર્વર તેમની પોતાની વાતચીત સીધી સુરક્ષિત કરી શકે છે, માર્ગમાં કોઈપણ દૂરસ્થ પ્રવેશ કેન્દ્રીકરણ વિના, અને સુરક્ષાની સીમા પછી ફાયરવોલમાં નહીં પણ દરેક હોસ્ટની અંદર હોય છે. આ તમને પસંદ કરેલા પ્રવાહો માટે શરૂઆતથી અંત સુધી આવરણ આપે છે. આ તમને એ નિર્ણય આપતું નથી કે કોણ કઈ પંક્તિ વાંચી શકે છે.
સીમા ત્યાં જ છે જ્યાં SA પૂરો થાય છે
RFC 4301 ટ્રાન્સપોર્ટ મોડમાં સુરક્ષા સહયોગોને એ ગોઠવણ તરીકે વર્ણવે છે જે સામાન્ય રીતે હોસ્ટની જોડી વચ્ચે શરૂઆતથી અંત સુધી સુરક્ષા માટે વપરાય છે. તે બંને હોસ્ટ ચાવીઓ રાખે છે, અને દરેક નક્કી કરે છે કે તેના પોતાના કયા પેકેટ સહયોગમાં પ્રવેશ કરશે. એક ગેટવે ટનલ સાવ બીજે જ પૂરી થાય છે અને વધારાના આંતરિક ખંડ દ્વારા હોસ્ટ સુધી પહોંચે છે, જે અલગ વિશ્વાસ સીમા છે, ત્યારે પણ જ્યારે પેકેટ તેની મુસાફરીના મોટા ભાગમાં એન્ક્રિપ્ટ થયેલું હોય.
હોસ્ટ-થી-હોસ્ટ અને ટ્રાન્સપોર્ટ મોડ તથાપિ સમાનાર્થી નથી. બે હોસ્ટ એકબીજા વચ્ચે તે જ રીતે યોગ્ય રીતે ટનલ મોડનો સહયોગ બનાવી શકે છે, તેથી પહેલા મોડ પસંદ કરો અને પછી અંતિમ બિંદુઓનું વર્ણન કરો. બંનેને ડિઝાઇન નોંધમાં સાથી સરનામાંઓ પાસે લખો, કારણ કે ફક્ત મોડ જાણતો સમીક્ષક બીજાને ધારી લેશે.
SPD સુરક્ષાનો અને માર્ગ દિશાનો નિર્ણય કરે છે
રૂટિંગ કોષ્ટક જણાવે છે કે પેકેટ ક્યાં જાય છે. સુરક્ષા નીતિનો ડેટાબેઝ જણાવે છે કે પસંદ કરેલો ટ્રાફિક સુરક્ષા સીમા કેવી રીતે પાર કરે છે, અને તે દરેક દિશા માટે પોતાના પસંદકર્તાઓ સાથે કરે છે. આ જ વિભાજન કારણ છે કે ડેટાબેઝ સુધીનો કાર્યક્ષમ માર્ગ વિનંતી સુરક્ષિત હતી કે નહીં તેના પર કંઈ સાબિત કરતો નથી, અને કે સ્થાપિત વાટાઘાટ કંઈ સાબિત કરતી નથી કે આ ચોક્કસ એપ્લિકેશન તેની સાથે મેળ ખાતી હતી કે નહીં. ગણકોની સરખામણી કરતા પહેલા પસંદકર્તાઓની સરખામણી કરો, કારણ કે ગણકો ફક્ત તે પ્રવાહોનું વર્ણન કરે છે જે ત્યાં સુધી પહોંચ્યા.
Linux માં, ip xfrm policy તે નોંધોને તેમની દિશા, પ્રાથમિકતા, પસંદકર્તા અને પરવાનગી, અવરોધ કે જાળની ક્રિયા સાથે છાપે છે, જ્યારે ip xfrm state પરિણામી સહયોગો અને તેમના ગણકો દર્શાવે છે. બંનેને સાથે વાંચવું એ જ રીત છે જેનાથી તમને તે પ્રવાહ મળે છે જેણે ટનલને શાંતિથી ટાળી લીધી કારણ કે એક વિશાળ પરવાનગી નોંધ પહેલા મેળ ખાઈ ગઈ.
પ્રાથમિકતા ક્રમ નીતિનો ભાગ છે, અમલીકરણની વિગત નથી. એક સાંકડી નોંધ જેણે ડેટાબેઝ પોર્ટનું રક્ષણ કરવું જોઈતું હતું, તે ઉચ્ચ પ્રાથમિકતાવાળી વિશાળ નોંધ સામે હારી જાય છે, અને નિષ્ફળતા એવી દેખાય છે જાણે નીતિને કદી પૂછવામાં જ ન આવી.
ટ્રાન્સપોર્ટ મોડ આગલું સ્તર ઢાંકે છે, IP હેડર નહીં
| Transport mode | Tunnel mode | |
|---|---|---|
| Original IP header | kept for routing the flow | replaced by an outer header |
| What ESP protects | the carried next-layer payload | the whole inner IP packet |
| Where it terminates | commonly the two hosts | gateway pair, or a host pair |
ટ્રાન્સપોર્ટ મોડમાં ESP હેડર IP હેડર અને પેલોડ વચ્ચે બેસે છે, અને તે હેડરના સરનામાં ક્ષેત્રો માર્ગના દરેક ઉપકરણને દેખાતા રહે છે. સરનામાંઓ રહસ્ય ન હોય અને પેલોડ રહસ્ય હોય ત્યારે આ ઠીક છે. જો તમારે આંતરિક ટોપોલોજી પણ છુપાવવી હોય તો આ ખોટી પસંદગી છે, કારણ કે ફક્ત ટનલ મોડ જ મૂળ હેડરને નવામાં લપેટે છે.
બંને મોડ આગલા સ્તરના અનેક પ્રોટોકોલ લઈ જઈ શકે છે, અને ESP પસંદકર્તા સાથે મેળ ખાતું હોય તેનું રક્ષણ કરશે, હોસ્ટ મોકલે છે તે બધું નહીં.
પસંદગી જોડાણ કરતાં સાંકડી છે
એક સહયોગ અનેક પ્રવાહ લઈ જઈ શકે છે, પણ ફક્ત તે જ જે નીતિ પસંદ કરે છે. સાથીઓની ઓળખ, સ્રોત અને ગંતવ્ય સરનામાંઓ, પ્રોટોકોલ અને તમે ધારેલા સંબંધની સેવા વ્યાપ્તિ નોંધો, પછી અલગથી નક્કી કરો કે ન મેળ ખાતો ટ્રાફિક ખુલ્લો જઈ શકે છે, તેનું રક્ષણ થવું જ જોઈએ, અથવા સહયોગ ઉપલબ્ધ ન હોય ત્યારે તેને ફેંકી દેવો જોઈએ. આ જ છેલ્લો નિર્ણય આશ્ચર્ય પેદા કરે છે, કારણ કે ખોટા સ્રોત માટે સુરક્ષા માગતો નિયમ તમારા પોતાના વ્યવસ્થાપન પ્રવેશને એટલી જ અસરકારકતાથી રોકી શકે છે જેટલી અસરકારકતાથી તે ઘૂસણખોરને રોકે છે.
અમલ બદલતી વખતે મંજૂર બેન્ડ-બહાર માર્ગ રાખો, અને બંને હોસ્ટ અગમ્ય બન્યા પછી નહીં પણ તેની જરૂર પડે તે પહેલા તેની કસોટી કરો.
મશીનની ઓળખ એ એપ્લિકેશનની પરવાનગી નથી
IPsec રૂપરેખાંકિત સાથીની પ્રમાણિકતા ચકાસે છે અને પસંદ કરેલા પેકેટનું રક્ષણ કરે છે. તે નક્કી કરતું નથી કે વ્યક્તિ કઈ ડેટાબેઝ નોંધ સંપાદિત કરી શકે છે, અને વિશ્વસનીય સર્વર ઓળખને દરેક એપ્લિકેશન વિશેષાધિકારના દાનમાં બદલતું નથી. એપ્લિકેશન ખાતાં, ભૂમિકાઓ અને અધિકૃતિ જ્યાં હતાં ત્યાં જ રહે છે, અને એપ્લિકેશન સ્તરની TLS જરૂરિયાત નેટવર્ક માર્ગ પહેલેથી સુરક્ષિત હોય તો પણ પોતાનો હેતુ જાળવી રાખે છે.
રચનાને ઇચ્છિત સ્રોતથી એક ક્રિયા અને નકારવા જેવી એક ક્રિયા સાથે સ્વીકારો, અને જરૂરી સહયોગ સ્થાપિત ન થઈ શકે ત્યારે શું થાય છે તે પણ સમાવો. સામાન્ય પહોંચ કસોટી તમને કહે છે કે પેકેટ ચાલે છે; તે કહેતી નથી કે તેઓ તમે લખેલી નીતિ હેઠળ ચાલ્યા હતા.