Mode transport atau tunnel: putuskan dari paketnya, bukan dari diagramnya

Diagram buku teks memasangkan mode transport dengan dua host dan mode tunnel dengan dua gateway, dan aturan praktis itu bertahan sampai penerapan pertama yang melanggarnya. Mode menjelaskan apa yang dibungkus paket ESP, bukan siapa pasangannya. Gateway dapat melindungi lalu lintas dalam mode transport, dan sepasang host dapat memakai mode tunnel jika memilihnya. Tiga pertanyaan menentukan apa yang dibutuhkan penerapan tertentu.

Mode adalah tata letak, bukan topologi

Dalam mode transport, header ESP berada setelah header IP dan sebelum muatan lapisan berikutnya, sehingga header IP asli tetap di luar dan terlihat. Dalam mode tunnel, isi yang dilindungi adalah paket IP utuh, dan header luar yang baru menamai kedua pasangan IPsec.

Saat kerahasiaan dipilih, wilayah yang dilindungi dalam mode tunnel mencakup header IP dalam itu, sehingga tangkapan paket tidak dapat memberi tahu titik akhir sebenarnya tanpa kunci. Header luar tetap terbaca dalam kedua kasus, dan itulah yang membuat pemecahan masalah mungkin dilakukan.

Pertanyaan satu: apa sebenarnya yang ada di dalam ESP

Lihat paket yang dihasilkan aplikasi dan tanyakan batas mana yang melindunginya. Jika jawabannya adalah muatan transport antara dua alamat yang sudah benar, mode transport cocok tanpa mengarang header kedua. Jika isi yang dilindungi membutuhkan alamatnya sendiri, karena titik akhir sebenarnya berbeda dari pasangan yang membawa lalu lintas, mode tunnel yang mengerjakannya. Kedua kasus ada dalam organisasi yang sama, karena itu satu pernyataan kebijakan jarang mencakup semuanya.

Pertanyaan itu dapat dijawab dari tangkapan paket dan tabel perutean. Pertanyaan itu tidak dapat dijawab dari gambar yang melabeli kotak sebagai klien dan server. Tangkapan paket di salah satu pasangan menunjukkan dalam hitungan detik mana dari keduanya yang Anda lihat.

Pertanyaan dua: apakah sudah ada tunnel di dalamnya

L2TP adalah contoh tandingan historis yang menunjukkan hal itu. Layanan ini membawa PPP di dalam sesi L2TP, dan IPsec melindungi pertukaran itu; tata letaknya menetapkan mode transport, dengan mode tunnel diizinkan sebagai opsi. Hasil yang terlihat adalah tunnel di tingkat layanan yang perlindungan luarnya memakai mode transport.

Jadi, hadirnya kata tunnel dalam deskripsi produk tidak mengatakan apa pun tentang mode lapisan di bawahnya. Catat pertanyaan mana yang menyelesaikannya, karena peninjau berikutnya akan menanyakan hal yang sama. Baca spesifikasi kombinasi itu alih-alih bernalar dari namanya, sebab kebiasaan itu mencegah sebagian besar perdebatan tentang apa yang harus didukung suatu produk.

Pertanyaan tiga: apa yang diminta pasangan

Dua pasangan harus sepakat, dan usulan yang menawarkan satu mode sementara pihak lain menuntut mode kedua gagal saat negosiasi alih-alih menurun diam-diam. Tanyakan kepada pemilik ujung jauh mode mana yang disebut kebijakan, dan periksa usulannya, bukan ringkasan dokumentasinya.

Lingkungan campuran adalah hal biasa: satu gateway mengakhiri sesi mode transport untuk produk lama dan sesi mode tunnel untuk tautan situs. Mode berlaku per asosiasi, bukan per perangkat. Mintalah daftar asosiasi, bukan nama fiturnya, karena nama bergerak lebih cepat daripada konfigurasi.

Membaca asosiasi yang ada

Untuk tinjauan, daftarkan pasangan, mode, pemilih, dan protokol lapisan berikutnya, lalu tambahkan enkapsulasi apa pun yang dililitkan di sekitar hasilnya. Penerjemahan alamat menambahkan pandangan luarnya sendiri dan bukan mode; aliran yang diterjemahkan tetap bisa salah satu dari keduanya. Daftar itu adalah satu-satunya artefak yang menunjukkan asosiasi sebagaimana terpasang, bukan sebagaimana dimaksudkan.

Akhiri dengan pertanyaan perutean dan otorisasi, karena tata letak paket yang benar tidak memberi tahu Anda subnet mana yang diizinkan atau apakah jalur balasan ada. Keduanya hidup dalam kebijakan dan dalam tabel rute, dan tidak satu pun mengubah argumen tentang mode.