IPsec milli tveggja hýsla: hvar verndin byrjar og hvar hún endar
Hýslapar getur varið valin flæði án gáttar. Skilgreindu endapunktana, stefnuna sem velur umferðina og heimildirnar sem haldast aðskildar.
Vernd á hýslapari byrjar þar sem öryggistengingin endar, og það er staðreyndin sem gáttalaga innsæið sleppir oftast. Umsóknarþjónn og gagnagrunnsþjónn hans geta varið eigið samtal beint, án nokkurs fjartengingarþéttis á leiðinni, og verndarmörkin liggja þá inni í hverjum hýsli frekar en í eldvegg. Það sem þetta færir þér er þekja frá enda til enda fyrir valin flæði. Það sem þetta færir þér ekki er ákvörðun um hver má lesa hvaða röð.
Mörkin eru þar sem SA endar
RFC 4301 lýsir öryggistengingum í flutningsham sem fyrirkomulaginu sem venjulega er notað milli hýslapars til verndar frá enda til enda. Þessi tveir hýslar halda lyklunum, og hvor um sig ákveður hvaða pakkar hans eigin fara inn í tenginguna. Gáttargöng enda allt annars staðar og ná til hýslsins um viðbótarinna hluta, sem eru önnur traustmörk jafnvel þegar pakkinn er dulkóðaður mestan hluta ferðar sinnar.
Hýsill-á-hýsil og flutningshamur eru þó ekki samheiti. Tveir hýslar geta jafn rétt byggt tengingu í gönguham milli sín, svo veldu haminn fyrst og lýstu síðan endapunktunum. Skrifaðu hvort tveggja í hönnunarskýrsluna við hlið jafningjanna, því ritstjóri sem þekkir aðeins haminn mun gera ráð fyrir hinum.
SPD ákveður verndina, leiðin ákveður stefnuna
Leiðartöflur svara því hvert pakki fer. Gagnagrunnur öryggisstefnunnar svarar því hvernig valin umferð fer yfir verndarmörkin, og gerir það fyrir hverja stefnu með eigin veljendum. Þessi skipting er ástæðan fyrir því að virk leið að gagnagrunninum sannar ekkert um hvort beiðnin var vernduð, og fyrir því að samningur sem hefur tekist sannar ekkert um hvort þetta tiltekna forrit passaði við hann. Berðu saman veljendurna áður en þú berð saman teljarana, því teljararnir lýsa aðeins þeim flæðum sem komust svona langt.
Á Linux prentar ip xfrm policy þær færslur með stefnu þeirra, forgangi, veljanda og aðgerð leyfa, loka eða gildru, en ip xfrm state sýnir tengingarnar sem verða til og teljarana þeirra. Að lesa bæði saman er leiðin til að finna flæðið sem fór hljóðlega fram hjá göngunum vegna þess að víðtækari leyfisfærsla passaði fyrst.
Forgangsröðun er hluti af stefnunni, ekki útfærsluatriði. Þröng færsla sem ætti að vernda gagnagrunnsportið tapar fyrir víðtækari færslu með hærri forgang, og bilunin lítur út eins og stefnunnar hafi aldrei verið leitað.
Flutningshamur þekur næsta lag, ekki IP-hausinn
| Transport mode | Tunnel mode | |
|---|---|---|
| Original IP header | kept for routing the flow | replaced by an outer header |
| What ESP protects | the carried next-layer payload | the whole inner IP packet |
| Where it terminates | commonly the two hosts | gateway pair, or a host pair |
Í flutningsham situr ESP-hausinn milli IP-haussins og gagnahlutarins, og heimilisfangssvið þess hauss haldast sýnileg hverju tæki á leiðinni. Það er í lagi þegar heimilisföngin eru ekki leyndarmálið og gagnahluturinn er það. Það er röng ákvörðun ef þú þarft líka að fela innri topologíuna, því aðeins gönguhamur vefur upprunalega hausinn inn í nýjan.
Báðir hamir geta borið nokkur samskiptareglur næsta lags, og ESP verndar það sem veljandinn passar við frekar en allt sem hýsillinn sendir.
Valið er þrengra en tengingin
Ein tenging getur borið mörg flæði, en aðeins þau sem stefnan velur. Skráðu auðkenni jafningjanna, uppruna- og áfangastaðina, samskiptaregluna og þjónustusvið sambandsins sem þú ætlar, og ákveddu síðan sérstaklega hvort umferð sem passar ekki megi fara opið, verði að vernda eða verði að henda þegar tengingin er ekki tiltæk. Það er síðasta ákvörðunin sem veldur óvart, því regla sem krefst verndar fyrir rangt upprunar getur lokað þínum eigin stjórnunaraðgangi jafn vel og hún lokar fyrir óboðinn.
Haltu samþykktri slóð utan bands á meðan þú breytir framfylgdinni, og prófaðu hana áður en þú þarft á henni að halda frekar en eftir að báðir hýslar verða óaðgengilegir.
Auðkenni vélarinnar er ekki forritsheimild
IPsec sannreynir stilltan jafningja og verndar valda pakka. Það ákveður ekki hvaða gagnagrunnsfærslu einstaklingur má breyta, og það breytir traustu auðkenni þjóns ekki í veitingu allra forritsréttinda. Forritareikningar, hlutverk og heimildir haldast nákvæmlega þar sem þau voru, og TLS-krafa á forritsstigi heldur eigin tilgangi sínum jafnvel þegar netleiðin er þegar vernduð.
Samþykktu hönnunina með einni aðgerð frá fyrirhuguðum uppruna og einni sem verður að hafna, og hafðu með hvað gerist þegar ekki er hægt að koma á nauðsynlegri tengingu. Venjulegt aðgengispróf segir þér að pakkar hreyfist; það segir þér ekki að þeir hafi hreyfst samkvæmt stefnunni sem þú skrifaðir.