AH, թե՞ ESP. Որոշումը կախված է նրանից, ինչ պետք է պաշտպանի փաթեթը

Երկու IPsec առաջարկ կարող են նշել նույն SHA-ի վրա հիմնված ամբողջականության ալգորիթմը և միևնույն ժամանակ պահանջել տարբեր պաշտպանական արձանագրություններ. AH-ը և ESP-ն մեկ նույնականացման կարգավորման երկու ուղղագրություն չեն։ Նախ կարդացեք արձանագրությունը, ապա նրա ալգորիթմները, ապա նրա ռեժիմը, և անորոշության մեծ մասը կվերանա։ AH-ը հաստատում է փաթեթը, ներառյալ IP վերնագրի այն դաշտերը, որոնք ճանապարհին անփոփոխ են մնում, մինչդեռ ESP-ն հաստատում և գաղտնագրում է այն, ինչ ինքն է փաթաթում, և արտաքին վերնագիրը թողնում է անփոփոխ։ Հենց այդ տարբերությունն է որոշում ավելի շատ տեղաբաշխումներ, քան ցանկացած hash անուն։

Ինչ է ծածկում AH-ը, իսկ ESP-ը՝ ոչ

AH-ը տալիս է ամբողջականություն, տվյալների ծագման հաստատում և իր սահմանած կրկնության դեմ ծառայությունը, և ոչ մի գաղտնիություն։ Նրա ծածկույթը ներառում է վերին շերտի տվյալները և IP վերնագրի այն դաշտերը, որոնք նրա կանոնները համարում են անփոփոխ, այսինքն հենց այն մասը, որը ESP-ն տրանսպորտային ռեժիմում թողնում է դրսում։ Երբ պահանջը ասում է, որ պետք է հաստատվի հենց IP վերնագիրը, AH-ն է այն արձանագրությունը, որ պատասխանում է։

Այդ ծածկույթն է նաև պատճառը, որ AH-ը գործնականում փխրուն է։ Փոփոխվող դաշտերը, ինչպիսիք են TTL-ը, վերնագրի ստուգիչ գումարը և որոշ ընտրանքներ, հնարավոր չէ հաստատել, քանի որ երթուղիչները կարող են վերագրել դրանք, ուստի արձանագրությունը զրոյացնում է դրանք ստուգումը հաշվելուց առաջ։ Այսպիսով՝ հասցեները վերագրող ամեն ինչ կոտրում է հաշվարկը, ոչ միայն քաղաքականությունը։

NAT-ը ընտրությունը դարձնում է սահմանափակում

Հասցեների թարգմանությունը վերագրում է աղբյուրը կամ նպատակակետը այն IP վերնագրում, որը AH-ը հենց նոր հաստատել է, ուստի ամբողջականության ստուգումը ձախողվում է հեռավոր կողմում, և ձախողվում է որպես արձանագրության սխալ, այլ ոչ որպես ընթեռնելի հաղորդագրություն։ ESP-ն չի հաստատում արտաքին վերնագիրը, դրա համար էլ ESP-ն NAT-ի անցումով աշխատում է, իսկ AH-ը NAT-ի հետևում՝ ոչ։ Թունելը, որի երկու կողմերն էլ սովորական երթուղիչների հետևում են, հենց այն տեղն է, որտեղ սա առաջինն է ի հայտ գալիս։ Ուստի առաջին հարցը ոչ թե այն է, թե որ արձանագրությունն է ավելի ուժեղ, այլ այն, թե արդյոք կողմերի միջև թարգմանիչ կա։

Եթե կա, AH-ը դուրս է մնում, և խոսակցությունը տեղափոխվում է ESP և նրա ալգորիթմների ընտրությանը։ Սա սահմանափակում է, ոչ նախապատվություն, ուստի դրա տեղը որոշման սկզբում է, ոչ վերջում։

Ռեժիմը բազմապատկում է հարցը

ESP-ն տրանսպորտային ռեժիմում պաշտպանում է վերին շերտի բեռը և IP վերնագիրը թողնում է անփոփոխ. թունելային ռեժիմում այն փաթաթում է ամբողջ ներքին փաթեթը, ներառյալ ներքին IP վերնագիրը, և պաշտպանում այն։ AH-ն ունի նույն երկու ռեժիմները, ուստի AH կամ ESP-ն իրականում չորս համակցություն է մինչև ցանկացած ալգորիթմի ընտրությունը։

Համակցված ռեժիմի ESP ալգորիթմները հետո լուծում են ամբողջականությունը առանց երկրորդ արձանագրության։ AES-GCM-ը և ChaCha20-Poly1305-ը հաստատում և գաղտնագրում են մեկ կառուցվածքում, ուստի վերևում AH ավելացնելը ոչինչ չի գնում, բայց արժենում է ևս մեկ վերնագիր և ևս մեկ բանակցություն։ Ճարտարապետությունը թույլ է տալիս AH-ն և ESP-ն միասին, և գործնական հարցը արդյոք ձեր դարպասը և թողարկումը աջակցում են այդ համակցությանը և արդյոք ինչ-որ մեկը կկարողանա հետո այն պահպանել։

Միայն AH-ի ազնիվ փոխարինողը

Միայն ամբողջականության ESP տարբերակը պահում է ալգորիթմը և թողնում գաղտնագրման պահանջը՝ այն կեղծելու փոխարեն, և անցնում է NAT-ով։ Եթե հին նախագիծն օգտագործել է AH, քանի որ առանց գաղտնիության հաստատում էր պետք, այդ տարբերակը հենց ուղիղ թարգմանությունն է, ոչ թե գրառումով գաղտնագրված թունել։

Առաջարկում ESP տեսնելը նույնպես գաղտնագրման ապացույց չի։ Կարդացեք գաղտնագրման ալգորիթմը. NULL գրառումը նշանակում է միայն ամբողջականություն, իսկ համակցված ռեժիմի գրառումը՝ երկուսը միասին։

Որոշեք երեք հարցով

Հարցրեք՝ արդյոք գաղտնիություն է պետք, արդյոք ճանապարհին թարգմանիչ կա, և որ վերնագրի դաշտերը պետք է հաստատվեն։ Այս երեք պատասխանները ցույց են տալիս մեկ արձանագրություն և մեկ ռեժիմ, և դրանք գրելը ավելի քիչ ժամանակ է խլում, քան հետո RFC-ները նորից կարդալը։

Ապա ստուգեք ընդունվածը, ոչ թե առաջարկվածը։ ip xfrm state ցույց է տալիս տեղադրված ասոցիացիայի արձանագրությունը, ռեժիմը և ալգորիթմները, և անհամապատասխանության դեպքում ոչինչ չի տեղադրվում, ինչը ավելի մաքուր ձախողում է, քան նախատեսված պաշտպանությունից առանց բարձրացող թունելը։

Նույնականացման ձախողումները, սելեկտորների ծածկույթը և երթուղավորման սխալները պահեք այս ընտրությունից առանձին։ Դրանք տարբեր ախտանիշներ են տալիս, և սելեկտորի խնդրի համար արձանագրությանը մեղադրելը հուսալի միջոց է մեկ օրը պատճառազուրկ hash փոխելով անցկացնելու համար։