AH eða ESP? Ákveddu eftir því sem pakkinn þarf að verja

Tvær IPsec tillögur geta nefnt sama SHA-byggða heilleikaalgríminn og samt krafist mismunandi verndarreglna; AH og ESP eru ekki tvær stafsetningar af einni sannvottunarstillingu. Lestu fyrst regluna, svo algrímin hennar, svo haminn, og mest af óskýrleikanum hverfur. AH sannprófar pakkann, þar á meðal þá IP-hausreiti sem verða óbreyttir á leiðinni, en ESP sannprófar og dulkóðar það sem það pakkar inn og lætur ytri hausinn vera. Sá munur ræður fleiri uppsetningum en nokkurt hash-heiti.

Hvað AH þekur en ESP ekki

AH veitir heilleika, sannvottun uppruna gagnanna og þá endurtekningarvernd sem það skilgreinir sjálft, og enga trúnað. Þekja þess nær yfir gögn efra lagsins og þá IP-hausreiti sem reglur þess telja óbreytanlega, nákvæmlega þann hluta sem ESP lætur utan í flutningsham. Þegar krafa segir að IP-hausinn sjálfur skuli sannvottaður er AH reglan sem svarar því.

Þessi þekja er líka ástæðan fyrir því að AH er brothætt í reynd. Breytilega reiti eins og TTL, tékkusummu haussins og nokkra valkosti er ekki hægt að sannvotta því beinar geta skrifað þá upp á nýtt, svo reglan núllstillir þá áður en tékkusumman er reiknuð. Þess vegna brýtur allt sem endurskrifar vistföng útreikninginn, ekki bara stefnuna.

NAT breytir valinu í takmörkun

Vistfangsþýðing endurskrifar uppruna eða áfangastað í IP-hausnum sem AH sannprófaði rétt áðan, svo heilleikaprófið bregst hinum megin, og það bregst sem regluvilla en ekki lesanleg skilaboð. ESP sannprófar ekki ytri hausinn, þess vegna virkar ESP með NAT-göngu en AH bak við NAT ekki. Göng þar sem báðar hliðar standa bak við venjulega beina eru einmitt staðurinn þar sem þetta kemur fyrst fram. Þess vegna er fyrsta spurningin ekki hvaða regla er sterkari, heldur hvort þýðandi standi milli hliðanna.

Ef svo er fellur AH út og samtalið færist yfir í ESP og algrímavalið þess. Þetta er takmörkun en ekki val, þess vegna á hún heima efst í ákvörðuninni en ekki neðst.

Hamurinn margfaldar spurninguna

ESP í flutningsham verndar farm efra lagsins og lætur IP-hausinn vera; í gönguham pakkar það inn öllum innri pakkanum, þar á meðal innri IP-hausnum, og verndar hann. AH hefur sömu tvo hama, svo AH eða ESP eru í raun fjórar samsetningar áður en nokkur algrímur er valinn.

ESP-algrím í samsettum ham ljúka svo heilleikanum án annarrar reglu. AES-GCM og ChaCha20-Poly1305 sannprófa og dulkóða í einni byggingu, svo að bæta AH ofan á kaupir ekkert en kostar annan haus og aðra samningaviðræður. Arkitektúrinn leyfir AH og ESP saman, og hagnýta spurningin er hvort gáttin þín og útgáfan styðji samsetninguna og hvort einhver geti viðhaldið henni síðar.

Heiðarleg staðgengil fyrir AH eitt og sér

ESP-afbrigðið með heilleika eingöngu heldur algríminu og sleppir dulkóðunarkröfunni í stað þess að þykjast, og það kemst í gegnum NAT. Ef eldri hönnun notaði AH vegna þess að þörf var á sannvottun án trúnaðar er það afbrigði bein þýðing, ekki dulkóðuð göng með viðhengi.

Að sjá ESP í tillögu er heldur ekki sönnun fyrir dulkóðun. Lestu dulkóðunaralgrímið: NULL-færsla þýðir aðeins heilleika og færsla í samsettum ham þýðir bæði.

Ákveddu með þremur spurningum

Spurðu hvort trúnaður sé nauðsynlegur, hvort þýðandi sé á leiðinni og hvaða hausreiti þurfi að sannvotta. Þessi þrjú svör benda á eina reglu og einn ham, og að skrifa þau tekur skemmri tíma en að lesa RFC-in aftur síðar.

Sannprófaðu svo það sem var samþykkt en ekki það sem var lagt til. ip xfrm state sýnir reglu, ham og algrím uppsettu samtengingarinnar, og misræmi setur ekkert upp, sem er hreinna mistök en göng sem rísa án þeirrar verndar sem þú ætlaðir þér.

Haltu sannvottunarbilunum, þekju valanna og leiðarvillum aðskildum frá þessu vali. Þau gefa mismunandi einkenni, og að kenna reglunni um valvandamál er áreiðanleg leið til að eyða degi í að skipta um hash án ástæðu.