IPsec երկու հոսթերի միջև. որտեղ է սկսվում և ավարտվում պաշտպանությունը
Հոսթերի զույգը կարող է պաշտպանել ընտրված հոսքերը առանց դարպասի։ Սահմանեք վերջնակետերը, երթևեկությունն ընտրող քաղաքականությունը և առանձին մնացող թույլտվությունները։
Պաշտպանությունը հոսթերի զույգի վրա սկսվում է այնտեղ, որտեղ ավարտվում է անվտանգության ասոցիացիան, և հենց այդ փաստն է, որ ամենից հաճախ բաց է թողնում դարպասաձև ինտուիցիան։ Կիրառման սերվերը և նրա տվյալների բազայի սերվերը կարող են ուղղակիորեն պաշտպանել իրենց զրույցը, ուղու վրա հեռավոր մուտքի որևէ կենտրոնացուցիչի բացակայությամբ, և պաշտպանության սահմանը այդ դեպքում գտնվում է յուրաքանչյուր հոսթի ներսում, այլ ոչ թե հրդեհային պատի մեջ։ Սա ձեզ տալիս է ծածկույթ ծայրից ծայր ընտրված հոսքերի համար։ Ինչ չի տալիս, դա որոշումն է այն մասին, թե ով կարող է կարդալ որ տողը։
Սահմանը այնտեղ է, որտեղ ավարտվում է SA-ն
RFC 4301-ը նկարագրում է տրանսպորտային ռեժիմի անվտանգության ասոցիացիաներին որպես հոսթերի զույգի միջև ծայրից ծայր պաշտպանության համար սովորաբար օգտագործվող դասավորություն։ Այդ երկու հոսթերը պահում են բանալիները, և յուրաքանչյուրը որոշում է, թե իր իսկ փաթեթներից որոնք են մտնում ասոցիացիա։ Դարպասի թունելն ավարտվում է բոլորովին այլ տեղ և հասնում է հոսթին լրացուցիչ ներքին սեգմենտի միջոցով, ինչը վստահության այլ սահման է, նույնիսկ երբ փաթեթը գաղտնագրված է իր ճանապարհի մեծ մասում։
Հոսթ-հոսթ և տրանսպորտային ռեժիմը, սակայն, հոմանիշներ չեն։ Երկու հոսթեր կարող են նույնքան ճիշտ կառուցել թունելային ռեժիմի ասոցիացիա իրենց միջև, ուստի նախ ընտրեք ռեժիմը, ապա նկարագրեք վերջնակետերը։ Գրե՛ք երկուսն էլ նախագծային նշումում գործընկերների հասցեների կողքին, որովհետև միայն ռեժիմին ծանոթ գրախոսը կենթադրի մյուսը։
SPD-ն որոշում է պաշտպանությունը, երթուղին՝ ուղղությունը
Երթուղային աղյուսակը պատասխանում է, թե ուր է գնում փաթեթը։ Անվտանգության քաղաքականության տվյալների բազան պատասխանում է, թե ինչպես է ընտրված երթևեկությունը հատում պաշտպանության սահմանը, և դա անում է յուրաքանչյուր ուղղության համար իր իսկ ընտրիչներով։ Այդ բաժանումն է պատճառը, որ տվյալների բազա տանող աշխատող երթուղին ոչինչ չի ապացուցում այն մասին, թե արդյոք հարցումը պաշտպանված էր, և այն, որ կնքված բանակցությունը ոչինչ չի ապացուցում այն մասին, թե արդյոք այս կոնկրետ կիրառումը համապատասխանել է դրան։ Համեմատե՛ք ընտրիչներին նախքան հաշվիչները համեմատելը, որովհետև հաշվիչները նկարագրում են միայն այն հոսքերը, որոնք հասել են այդքան հեռու։
Linux-ում ip xfrm policy-ը տպում է այդ գրառումները իրենց ուղղությամբ, առաջնահերթությամբ, ընտրիչով և թույլատրել, արգելափակել կամ որսալ գործողությամբ, մինչդեռ ip xfrm state-ը ցույց է տալիս ստացված ասոցիացիաները և դրանց հաշվիչները։ Երկուսը միասին կարդալը այն միջոցն է, որով գտնում եք այն հոսքը, որը լուռ շրջանցել է թունելը, որովհետև ավելի լայն թույլատրող գրառումն առաջինն է համապատասխանել։
Առաջնահերթությունների հերթականությունը քաղաքականության մասն է, ոչ թե ներդրման մանրամասնություն։ Նեղ գրառումը, որը պետք է պաշտպաներ տվյալների բազայի պորտը, պարտվում է ավելի լայն գրառմանը՝ ավելի բարձր առաջնահերթությամբ, և խափանումը կարծես թե քաղաքականությանը երբեք չեն դիմել։
Տրանսպորտային ռեժիմը ծածկում է հաջորդ շերտը, ոչ թե IP վերնագիրը
| Transport mode | Tunnel mode | |
|---|---|---|
| Original IP header | kept for routing the flow | replaced by an outer header |
| What ESP protects | the carried next-layer payload | the whole inner IP packet |
| Where it terminates | commonly the two hosts | gateway pair, or a host pair |
Տրանսպորտային ռեժիմում ESP վերնագիրը գտնվում է IP վերնագրի և բեռնվածքի միջև, և այդ վերնագրի հասցեային դաշտերը մնում են տեսանելի ուղու վրա գտնվող յուրաքանչյուր սարքի համար։ Դա լավ է, երբ հասցեները գաղտնիք չեն, իսկ բեռնվածքը՝ գաղտնիք է։ Դա սխալ ընտրություն է, եթե ձեզ նաև պետք է թաքցնել ներքին տոպոլոգիան, որովհետև միայն թունելային ռեժիմն է սկզբնական վերնագիրը փաթաթում նորի մեջ։
Երկու ռեժիմներն էլ կարող են կրել հաջորդ շերտի մի քանի արձանագրություն, և ESP-ն կպաշտպանի այն, ինչին համապատասխանում է ընտրիչը, այլ ոչ թե այն ամենը, ինչ ուղարկում է հոսթը։
Ընտրությունը կապից նեղ է
Մեկ ասոցիացիան կարող է կրել մի քանի հոսք, բայց միայն նրանք, որոնք ընտրում է քաղաքականությունը։ Գրանցե՛ք գործընկերների ինքնությունները, աղբյուրի և նպատակակետի հասցեները, արձանագրությունը և ձեր նախատեսած հարաբերության ծառայության շրջանակը, ապա առանձին որոշե՛ք, թե չհամապատասխանող երթևեկությունը կարո՞ղ է բաց գնալ, պե՞տք է պաշտպանվի, թե՞ պետք է դեն նետվի, երբ ասոցիացիան հասանելի չէ։ Հենց վերջին որոշումն է ստեղծում անակնկալներ, որովհետև սխալ աղբյուրի համար պաշտպանություն պահանջող կանոնը կարող է արգելափակել ձեր սեփական կառավարման մուտքը նույնքան արդյունավետ, որքան արգելափակում է ներխուժողին։
Փոխելիս պահպանե՛ք հաստատված արտաժապավենային ուղին և փորձարկե՛ք այն նախքան անհրաժեշտությունը, այլ ոչ թե այն բանից հետո, երբ երկու հոսթերն էլ անհասանելի կդառնան։
Մեքենայի ինքնությունը կիրառման թույլտվություն չէ
IPsec-ը նույնականացնում է կազմաձևված գործընկերոջը և պաշտպանում ընտրված փաթեթները։ Այն չի որոշում, թե տվյալների բազայի որ գրառումը մարդը կարող է խմբագրել, և վստահելի սերվերի ինքնությունը չի վերածում կիրառման բոլոր արտոնությունների տրամադրման։ Կիրառման հաշիվները, դերերը և լիազորումը մնում են ճիշտ այնտեղ, որտեղ եղել են, և կիրառման մակարդակի TLS պահանջը պահպանում է իր նպատակը նույնիսկ այն դեպքում, երբ ցանցային ուղին արդեն պաշտպանված է։
Ընդունե՛ք նախագիծը նախատեսված աղբյուրից մեկ գործողությամբ և մեկով, որը պետք է մերժվի, և ներառե՛ք, թե ինչ է տեղի ունենում, երբ պահանջվող ասոցիացիան հնարավոր չէ հաստատել։ Սովորական հասանելիության թեստը ձեզ ասում է, որ փաթեթները շարժվում են. այն չի ասում, որ դրանք շարժվել են ձեր գրած քաղաքականության ներքո։