Modalità trasporto o tunnel: decidi dal pacchetto, non dallo schema
Trasporto e tunnel descrivono cosa sta dentro ESP, non se è coinvolto un host o un gateway. Tre domande stabiliscono quale modalità serve a una distribuzione.
Gli schemi dei manuali abbinano la modalità trasporto a due host e la modalità tunnel a due gateway, e questa regola pratica regge fino alla prima distribuzione che la infrange. La modalità descrive cosa avvolge il pacchetto ESP, non chi sono le parti. Un gateway può proteggere il traffico in modalità trasporto, e una coppia di host può usare la modalità tunnel se lo sceglie. Tre domande stabiliscono di cosa ha bisogno una distribuzione specifica.
La modalità è una disposizione, non una topologia
In modalità trasporto l’intestazione ESP va dopo l’intestazione IP e prima del carico utile del livello successivo, quindi l’intestazione IP originale resta fuori e visibile. In modalità tunnel il contenuto protetto è un pacchetto IP completo, e una nuova intestazione esterna nomina le due parti IPsec.
| Mode | What follows the outer IP header | Headers a capture shows |
|---|---|---|
| Transport | ESP, then the next-layer payload | One IP header |
| Tunnel | ESP, then a whole inner IP packet | Outer and inner headers |
Con la riservatezza selezionata, la regione protetta in modalità tunnel comprende quell’intestazione IP interna, per cui una cattura non può dire gli endpoint reali senza chiavi. L’intestazione esterna resta leggibile in entrambi i casi, ed è ciò che rende possibile la risoluzione dei problemi.
Prima domanda: cosa c’è esattamente dentro ESP
Guardate il pacchetto che l’applicazione produce e chiedete quale confine lo protegge. Se la risposta è il carico utile di trasporto tra due indirizzi già corretti, la modalità trasporto va bene senza inventare una seconda intestazione. Se il contenuto protetto ha bisogno di indirizzi propri, perché gli endpoint reali differiscono dalle parti che portano il traffico, la modalità tunnel fa il lavoro. Entrambi i casi esistono nella stessa organizzazione, ed è per questo che una sola dichiarazione di policy raramente copre tutto.
A quella domanda si può rispondere con una cattura e una tabella di routing. Non si può rispondere con un disegno che etichetta le caselle come client e server. Una cattura presa presso una delle due parti mostra in pochi secondi quale delle due state guardando.
Seconda domanda: c’è già un tunnel all’interno
L2TP è il controesempio storico che lo dimostra. Il servizio trasporta PPP dentro una sessione L2TP, e IPsec protegge quello scambio; la disposizione specifica la modalità trasporto, con la modalità tunnel consentita come opzione. Il risultato visibile è un tunnel a livello di servizio la cui protezione esterna usa la modalità trasporto.
Dunque la presenza della parola tunnel nella descrizione di un prodotto non dice nulla sulla modalità del livello sottostante. Annotate quale domanda l’ha risolta, perché il prossimo revisore chiederà la stessa cosa. Leggete la specifica di quella combinazione invece di ragionare dal nome, perché quell’abitudine evita la maggior parte delle discussioni su cosa un prodotto debba supportare.
Terza domanda: cosa richiede la parte
Due parti devono mettersi d’accordo, e una proposta che offre una modalità mentre l’altra richiede la seconda fallisce durante la negoziazione invece di degradare in silenzio. Chiedete al proprietario dell’estremità remota quale modalità nomina la policy, e verificate la proposta invece del riassunto della documentazione.
Gli ambienti misti sono comuni: un gateway termina sessioni in modalità trasporto per un prodotto legacy e sessioni in modalità tunnel per un collegamento di sede. La modalità è per associazione, non per dispositivo. Chiedete l’elenco delle associazioni invece del nome della funzione, perché il nome viaggia più veloce della configurazione.
Leggere l’associazione che esiste
Per una revisione, elencate le parti, la modalità, i selettori e il protocollo del livello successivo, poi aggiungete qualsiasi incapsulamento avvolto intorno al risultato. La traduzione degli indirizzi aggiunge la propria vista esterna e non è una modalità; un flusso tradotto può comunque essere l’una o l’altra. L’elenco è l’unico artefatto che mostra l’associazione come installata e non come prevista.
Chiudete con la domanda su routing e autorizzazione, perché una disposizione di pacchetto corretta non vi dice nulla su quali sottoreti sono consentite né se esiste il percorso di ritorno. Queste vivono nella policy e nella tabella di routing, e nessuna delle due cambia l’argomento sulla modalità.