IPsec antara dua host: tempat perlindungan dimulai dan berakhir

Perlindungan pada sepasang host dimulai di tempat asosiasi keamanan berakhir, dan itulah fakta yang paling sering terlewat oleh intuisi yang terbentuk dari gateway. Sebuah server aplikasi dan server basis datanya dapat melindungi percakapan mereka sendiri secara langsung, tanpa konsentrator akses jarak jauh di jalurnya, dan batas perlindungan kemudian berada di dalam setiap host dan bukan di dalam firewall. Yang dibeli oleh ini adalah cakupan ujung ke ujung untuk aliran terpilih. Yang tidak dibeli oleh ini adalah keputusan tentang siapa yang boleh membaca baris yang mana.

Batasnya adalah tempat SA berakhir

RFC 4301 menjelaskan asosiasi keamanan mode transport sebagai susunan yang biasanya dipakai antara sepasang host untuk perlindungan ujung ke ujung. Kedua host itu memegang kuncinya, dan masing-masing memutuskan paket mana dari miliknya sendiri yang masuk ke asosiasi. Sebuah tunnel gateway berakhir di tempat yang sama sekali lain dan mencapai host melalui segmen internal tambahan, yang merupakan batas kepercayaan berbeda meskipun paket itu terenkripsi untuk sebagian besar perjalanannya.

Host-ke-host dan mode transport bukanlah sinonim. Dua host dapat sama benarnya membangun asosiasi mode tunnel di antara mereka sendiri, jadi pilih modenya lebih dulu lalu jelaskan titik akhirnya. Tuliskan keduanya di catatan desain di samping alamat peer, karena peninjau yang hanya mengenal modenya akan menganggap yang lain.

SPD memutuskan perlindungan, rute memutuskan arah

Tabel perutean menjawab ke mana sebuah paket pergi. Basis data kebijakan keamanan menjawab bagaimana lalu lintas terpilih melewati batas perlindungan, dan melakukannya per arah dengan selektornya sendiri. Pemisahan itulah sebabnya rute yang berfungsi ke basis data tidak membuktikan apa pun tentang apakah permintaan itu terlindungi, dan sebabnya negosiasi yang terbentuk tidak membuktikan apa pun tentang apakah aplikasi tertentu ini cocok dengannya. Bandingkan selektornya sebelum membandingkan penghitungnya, karena penghitung hanya menjelaskan aliran yang sampai sejauh itu.

Di Linux, ip xfrm policy mencetak entri tersebut dengan arah, prioritas, selektor, dan aksi izinkan, blokir, atau trap-nya, sedangkan ip xfrm state menunjukkan asosiasi yang dihasilkan dan penghitungnya. Membaca keduanya bersama-sama adalah cara menemukan aliran yang diam-diam melewati tunnel karena entri izinkan yang lebih luas cocok lebih dulu.

Urutan prioritas adalah bagian dari kebijakan, bukan detail implementasi. Entri sempit yang seharusnya melindungi port basis data kalah oleh entri yang lebih luas dengan prioritas lebih tinggi, dan kegagalannya terlihat seolah kebijakan itu tidak pernah ditanyakan.

Mode transport mencakup lapisan berikutnya, bukan header IP

Dalam mode transport, header ESP berada di antara header IP dan muatan, dan bidang alamat header itu tetap terlihat oleh setiap perangkat di jalur. Itu tidak masalah bila alamatnya bukan rahasia dan muatannya rahasia. Itu pilihan yang salah bila Anda juga perlu menyembunyikan topologi internal, karena hanya mode tunnel yang membungkus header asli di dalam header baru.

Kedua mode dapat membawa beberapa protokol lapisan berikutnya, dan ESP akan melindungi apa yang cocok dengan selektor, bukan semua yang dikirim host.

Pemilihan lebih sempit daripada koneksi

Satu asosiasi dapat membawa beberapa aliran, tetapi hanya yang dipilih kebijakan. Catat identitas peer, alamat sumber dan tujuan, protokol, dan cakupan layanan untuk hubungan yang Anda maksudkan, lalu putuskan secara terpisah apakah lalu lintas yang tidak cocok boleh berjalan terbuka, harus dilindungi, atau harus dibuang ketika asosiasi tidak tersedia. Keputusan terakhir itulah yang menghasilkan kejutan, karena aturan yang menuntut perlindungan untuk sumber yang salah dapat memblokir akses manajemen Anda sendiri seefektif memblokir penyusup.

Pertahankan jalur di luar pita yang disetujui saat Anda mengubah penegakan, dan ujilah sebelum Anda membutuhkannya, bukan setelah kedua host menjadi tak terjangkau.

Identitas mesin bukan izin aplikasi

IPsec mengautentikasi peer yang dikonfigurasi dan melindungi paket terpilih. IPsec tidak memutuskan catatan basis data mana yang boleh diedit seseorang, dan tidak mengubah identitas server yang tepercaya menjadi pemberian semua hak istimewa aplikasi. Akun, peran, dan otorisasi aplikasi tetap persis di tempatnya, dan persyaratan TLS tingkat aplikasi mempertahankan tujuannya sendiri meskipun jalur jaringan sudah terlindungi.

Terima desain itu dengan satu operasi dari sumber yang dimaksud dan satu yang harus ditolak, dan sertakan apa yang terjadi ketika asosiasi yang diperlukan tidak dapat dibentuk. Uji keterjangkauan biasa memberi tahu Anda bahwa paket bergerak; uji itu tidak memberi tahu Anda bahwa paket bergerak di bawah kebijakan yang Anda tulis.