Transportni ili tunelski način: odlučite po paketu, a ne po dijagramu
Transport i tunel opisuju što stoji unutar ESP-a, a ne je li uključen host ili pristupnik. Tri pitanja određuju koji je način potreban nekoj provedbi.
Dijagrami iz udžbenika vežu transportni način uz dva hosta, a tunelski uz dva pristupnika, i to pravilo vrijedi sve do prve provedbe koja ga prekrši. Način opisuje što ESP paket obavija, a ne tko su strane. Pristupnik može zaštititi promet u transportnom načinu, a par hostova može rabiti tunelski način ako to odabere. Tri pitanja određuju što je potrebno konkretnoj provedbi.
Način je raspored, a ne topologija
U transportnom načinu ESP zaglavlje ide nakon IP zaglavlja i prije korisnog tereta sljedećeg sloja, pa izvorno IP zaglavlje ostaje izvana i vidljivo. U tunelskom načinu zaštićeni sadržaj je cijeli IP paket, a novo vanjsko zaglavlje imenuje dva IPsec partnera.
| Mode | What follows the outer IP header | Headers a capture shows |
|---|---|---|
| Transport | ESP, then the next-layer payload | One IP header |
| Tunnel | ESP, then a whole inner IP packet | Outer and inner headers |
Kad je odabrana povjerljivost, zaštićeno područje u tunelskom načinu uključuje to unutarnje IP zaglavlje, zbog čega snimka ne može otkriti prave krajnje točke bez ključeva. Vanjsko zaglavlje ostaje čitljivo u oba slučaja, i to je ono što uopće omogućuje rješavanje problema.
Pitanje prvo: što je točno unutar ESP-a
Pogledajte paket koji aplikacija proizvodi i pitajte koja ga granica štiti. Ako je odgovor transportni korisni teret između dvije adrese koje su već ispravne, transportni način odgovara bez izmišljanja drugog zaglavlja. Ako zaštićeni sadržaj treba vlastite adrese, jer se prave krajnje točke razlikuju od partnera koji nose promet, tunelski način obavlja posao. Oba slučaja postoje u istoj organizaciji, zbog čega jedna izjava politike rijetko pokriva sve.
Na to se pitanje može odgovoriti iz snimke i tablice usmjeravanja. Ne može se odgovoriti iz crteža koji kutije naziva klijentom i poslužiteljem. Snimka uzeta na bilo kojem partneru pokazuje u nekoliko sekundi na koje od dva gledate.
Pitanje drugo: postoji li tunel već unutra
L2TP je povijesni protuprimjer koji to pokazuje. Usluga nosi PPP unutar L2TP sesije, a IPsec štiti tu razmjenu; raspored propisuje transportni način, uz tunelski način dopušten kao opciju. Vidljiv rezultat je tunel na razini usluge čija vanjska zaštita rabi transportni način.
Dakle, prisutnost riječi tunel u opisu proizvoda ne govori ništa o načinu sloja ispod njega. Zapišite koje je pitanje to riješilo, jer će sljedeći recenzent pitati isto. Čitajte specifikaciju za tu kombinaciju umjesto da zaključujete iz imena, jer ta navika sprječava većinu rasprava o tome što proizvod mora podržavati.
Pitanje treće: što partner zahtijeva
Dva se partnera moraju složiti, a prijedlog koji nudi jedan način dok drugi zahtijeva drugi propada tijekom pregovora umjesto da tiho degradira. Pitajte vlasnika udaljenog kraja koji način politika imenuje i provjerite prijedlog, a ne sažetak dokumentacije.
Mješovita okruženja uobičajena su: jedan pristupnik prekida sesije transportnog načina za stari proizvod i sesije tunelskog načina za vezu lokacije. Način je po asocijaciji, ne po uređaju. Tražite popis asocijacija, a ne naziv značajke, jer naziv putuje brže od konfiguracije.
Čitanje asocijacije koja postoji
Za pregled navedite partnere, način, selektore i protokol sljedećeg sloja, pa dodajte svako enkapsuliranje omotano oko rezultata. Prijevod adresa dodaje svoj vanjski pogled i nije način; prevedeni tok i dalje može biti bilo koji od dva. Popis je jedini artefakt koji prikazuje asocijaciju onako kako je instalirana, a ne kako je zamišljena.
Završite pitanjem usmjeravanja i autorizacije, jer ispravan raspored paketa ne govori ništa o tome koje su podmreže dopuštene ili postoji li povratni put. Oni žive u politici i u tablici usmjeravanja, i nijedno ne mijenja argument o načinu.