מצב תעבורה או מנהרה: להחליט לפי החבילה, לא לפי התרשים
תעבורה ומנהרה מתארים מה נמצא בתוך ESP, לא אם מעורבים מארח או שער. שלוש שאלות קובעות איזה מצב פריסה צריכה.
תרשימים בספרי לימוד מצמידים מצב תעבורה לשני מארחים ומצב מנהרה לשני שערים, וכלל האצבע הזה מחזיק עד לפריסה הראשונה ששוברת אותו. המצב מתאר מה חבילת ESP עוטפת, לא מי הצדדים. שער יכול להגן על תעבורה במצב תעבורה, וזוג מארחים יכול להשתמש במצב מנהרה אם יבחר בכך. שלוש שאלות קובעות מה פריסה מסוימת צריכה.
המצב הוא סידור, לא טופולוגיה
במצב תעבורה כותרת ESP באה אחרי כותרת IP ולפני המטען של השכבה הבאה, כך שכותרת ה-IP המקורית נשארת בחוץ וגלויה. במצב מנהרה התוכן המוגן הוא חבילת IP שלמה, וכותרת חיצונית חדשה נותנת שמות לשני עמיתי ה-IPsec.
| Mode | What follows the outer IP header | Headers a capture shows |
|---|---|---|
| Transport | ESP, then the next-layer payload | One IP header |
| Tunnel | ESP, then a whole inner IP packet | Outer and inner headers |
כאשר נבחרת סודיות, האזור המוגן במצב מנהרה כולל את כותרת ה-IP הפנימית ההיא, ולכן לכידה לא יכולה לומר לכם את נקודות הקצה האמיתיות בלי מפתחות. הכותרת החיצונית נשארת קריאה בשני המקרים, וזה מה שמאפשר בכלל פתרון תקלות.
שאלה ראשונה: מה בדיוק נמצא בתוך ESP
הביטו בחבילה שהאפליקציה מייצרת ושאלו איזה גבול מגן עליה. אם התשובה היא מטען התעבורה בין שתי כתובות שכבר נכונות, מצב תעבורה מתאים בלי להמציא כותרת שנייה. אם התוכן המוגן זקוק לכתובות משלו, משום שנקודות הקצה האמיתיות שונות מהעמיתים שנושאים את התעבורה, מצב מנהרה עושה את העבודה. שני המקרים קיימים באותו ארגון, ולכן הצהרת מדיניות אחת מכסה לעתים רחוקות הכול.
על השאלה הזאת אפשר לענות מתוך לכידה ומתוך טבלת ניתוב. אי אפשר לענות עליה מתוך שרטוט שמסמן תיבות כלקוח ושרת. לכידה שנלקחת אצל מי מהעמיתים מראה בתוך שניות איזה משניים אתם מביטים בו.
שאלה שנייה: האם כבר יש מנהרה בפנים
L2TP הוא הדוגמה הנגדית ההיסטורית שממחישה את הנקודה. השירות נושא PPP בתוך שיחה של L2TP, ו-IPsec מגן על החליפין הזה; הסידור מגדיר מצב תעבורה, כשמצב מנהרה מותר כאופציה. התוצאה הנראית היא מנהרה ברמת השירות שההגנה החיצונית שלה משתמשת במצב תעבורה.
לכן עצם הופעת המילה מנהרה בתיאור מוצר אינה אומרת דבר על המצב של השכבה שמתחתיה. רשמו איזו שאלה הכריעה את זה, כי הסוקר הבא ישאל את אותו הדבר. קראו את המפרט של אותו שילוב במקום להסיק מהשם, משום שההרגל הזה מונע את רוב הוויכוחים על מה מוצר צריך לתמוך בו.
שאלה שלישית: מה העמית דורש
שני עמיתים חייבים להסכים, והצעה שמציעה מצב אחד בעוד השני דורש את השני נכשלת במהלך המשא ומתן במקום להידרדר בשקט. שאלו את הבעלים של הקצה המרוחק איזה מצב מדיניות מציינת, ובדקו את ההצעה ולא את תקציר התיעוד.
סביבות מעורבות נפוצות: שער אחד מסיים שיחות של מצב תעבורה עבור מוצר ותיק ושיחות של מצב מנהרה עבור קישור אתר. המצב הוא לכל אסוציאציה, לא לכל התקן. בקשו את רשימת האסוציאציות ולא את שם התכונה, משום שהשם עובר מהר יותר מהתצורה.
לקרוא את האסוציאציה שקיימת
לצורך סקירה, פרטו את העמיתים, המצב, הבוררים ופרוטוקול השכבה הבאה, ואז הוסיפו כל עטיפה שמלופפת סביב התוצאה. תרגום כתובות מוסיף את המבט החיצוני שלו ואינו מצב; זרימה מתורגמת עדיין יכולה להיות כל אחד מן השניים. הרשימה היא הראיה היחידה שמראה את האסוציאציה כפי שהותקנה ולא כפי שנדמה.
סיימו בשאלת הניתוב וההרשאה, משום שסידור חבילה נכון אינו אומר לכם דבר על אילו רשתות משנה מותרות או אם נתיב התשובה קיים. אלה חיים במדיניות ובטבלת הניתוב, ואף אחד מהם אינו משנה את הטיעון על המצב.