AH თუ ESP? გადაწყვეტილება დამოკიდებულია იმაზე, რისი დაცვა სჭირდება პაკეტს

ორი IPsec წინადადება შეიძლება მიუთითებდეს ერთსა და იმავე SHA-ზე დაფუძნებულ მთლიანობის ალგორითმს და მაინც სხვადასხვა დაცვის პროტოკოლი მოითხოვოს; AH და ESP ერთი ავთენტიფიკაციის პარამეტრის ორი მართლწერა არ არის. ჯერ წაიკითხეთ პროტოკოლი, შემდეგ მისი ალგორითმები, შემდეგ მისი რეჟიმი, და გაურკვევლობის უმეტესი ნაწილი გაქრება. AH ამოწმებს პაკეტს, მათ შორის IP სათაურის იმ ველებს, რომლებიც გზაზე უცვლელი რჩება, ხოლო ESP ამოწმებს და შიფრავს იმას, რასაც თვითონ ახვევს, და გარე სათაურს ხელუხლებლად ტოვებს. სწორედ ეს განსხვავება წყვეტს უფრო მეტ განლაგებას, ვიდრე რომელიმე hash სახელი.

რას ფარავს AH და რას არა ESP

AH იძლევა მთლიანობას, მონაცემთა წარმოშობის ავთენტიფიკაციას და მის მიერ განსაზღვრულ გამეორების საწინააღმდეგო სერვისს, და არავითარ კონფიდენციალურობას. მისი დაფარვა მოიცავს ზედა დონის მონაცემებს და IP სათაურის იმ ველებს, რომლებსაც მისი წესები უცვლელად მიიჩნევს, სწორედ იმ ნაწილს, რომელსაც ESP ტრანსპორტულ რეჟიმში გარეთ ტოვებს. როცა მოთხოვნა ამბობს, რომ თავად IP სათაური უნდა დამოწმდეს, AH არის ის პროტოკოლი, რომელიც პასუხობს.

ეს დაფარვაა მიზეზი, რის გამოც AH პრაქტიკაში მყიფეა. ცვლადი ველები, როგორიცაა TTL, სათაურის საკონტროლო ჯამი და ზოგიერთი ოფცია, ვერ დამოწმდება, რადგან მარშრუტიზატორებმა შეიძლება გადაწერონ ისინი, ამიტომ პროტოკოლი მათ ნულამდე აყვანს შემოწმების გამოთვლამდე. ამიტომ ნებისმიერი რამ, რაც მისამართებს გადაწერს, არღვევს გამოთვლას და არა მხოლოდ პოლიტიკას.

NAT არჩევანს შეზღუდვად აქცევს

მისამართების თარგმნა გადაწერს წყაროს ან დანიშნულებას იმ IP სათაურში, რომელიც AH-მ ახლახან დაამოწმა, ამიტომ მთლიანობის შემოწმება მეორე მხარეს ვარდება, და ვარდება როგორც პროტოკოლის შეცდომა და არა როგორც წაკითხვადი შეტყობინება. ESP არ ამოწმებს გარე სათაურს, ამიტომ ESP NAT-ის გავლით მუშაობს, AH კი NAT-ის უკან არა. გვირაბი, რომლის ორივე მხარე ჩვეულებრივი მარშრუტიზატორების უკან დგას, სწორედ ის ადგილია, სადაც ეს პირველად ჩნდება. ამიტომ პირველი კითხვა არ არის, რომელი პროტოკოლია ძლიერი, არამედ ის, არის თუ არა მხარეებს შორის მთარგმნელი.

თუ არის, AH გამოდის და საუბარი გადადის ESP-სა და მისი ალგორითმების არჩევანზე. ეს შეზღუდვაა და არა უპირატესობა, ამიტომ მისი ადგილი გადაწყვეტილების დასაწყისშია და არა ბოლოში.

რეჟიმი ამრავლებს კითხვას

ESP ტრანსპორტულ რეჟიმში იცავს ზედა დონის დატვირთვას და IP სათაურს ხელუხლებლად ტოვებს; გვირაბის რეჟიმში ის ახვევს მთელ შიდა პაკეტს, მათ შორის შიდა IP სათაურს, და იცავს მას. AH-საც იგივე ორი რეჟიმი აქვს, ამიტომ AH თუ ESP სინამდვილეში ოთხი კომბინაციაა ნებისმიერი ალგორითმის არჩევამდე.

კომბინირებული რეჟიმის ESP ალგორითმები შემდეგ წყვეტენ მთლიანობას მეორე პროტოკოლის გარეშე. AES-GCM და ChaCha20-Poly1305 ამოწმებენ და შიფრავენ ერთ კონსტრუქციაში, ამიტომ ზემოდან AH-ის დამატება არაფერს ყიდულობს, მაგრამ ღირს კიდევ ერთი სათაური და კიდევ ერთი მოლაპარაკება. არქიტექტურა იძლევა AH-ისა და ESP-ის ერთად გამოყენების საშუალებას, და პრაქტიკული კითხვაა მხარს უჭერენ თუ არა თქვენი კარიბჭე და გამოშვება ამ კომბინაციას და შეძლებს თუ არა ვინმე მის შენარჩუნებას შემდეგ.

მხოლოდ AH-ის პატიოსანი შემცვლელი

მხოლოდ მთლიანობის ESP ვარიანტი ინარჩუნებს ალგორითმს და ტოვებს შიფრაციის პრეტენზიას მისი გაყალბების ნაცვლად, და გადის NAT-ს. თუ ძველი დიზაინი იყენებდა AH-ს, რადგან კონფიდენციალობის გარეშე ავთენტიფიკაცია სჭირდებოდა, ეს ვარიანტი სწორედ პირდაპირი თარგმანია და არა დანართიანი შიფრირებული გვირაბი.

წინადადებაში ESP-ის დანახვა შიფრაციის მტკიცებულება არ არის. წაიკითხეთ შიფრაციის ალგორითმი: NULL ჩანაწერი ნიშნავს მხოლოდ მთლიანობას, ხოლო კომბინირებული რეჟიმის ჩანაწერი ნიშნავს ორივეს.

გადაწყვიტეთ სამი კითხვით

იკითხეთ, საჭიროა თუ არა კონფიდენციალობა, არის თუ არა გზაზე მთარგმნელი და რომელი სათაურის ველები უნდა დამოწმდეს. ეს სამი პასუხი მიუთითებს ერთ პროტოკოლზე და ერთ რეჟიმზე, და მათი ჩაწერა ნაკლებ დროს მოითხოვს, ვიდრე RFC-ების მოგვიანებით ხელახლა კითხვა.

შემდეგ შეამოწმეთ მიღებული და არა შემოთავაზებული. ip xfrm state აჩვენებს დაყენებული ასოციაციის პროტოკოლს, რეჟიმს და ალგორითმებს, და შეუსაბამობისას არაფერი დაყენდება, რაც უფრო სუფთა მარცხია, ვიდრე გვირაბი, რომელიც დანიშნული დაცვის გარეშე ადის.

ავთენტიფიკაციის წარუმატებლობები, სელექტორების დაფარვა და მარშრუტიზაციის შეცდომები ამ არჩევანისგან ცალკე გეჭიროთ. ისინი სხვადასხვა სიმპტომს იძლევიან, და სელექტორის პრობლემისთვის პროტოკოლის დადანაშაულება საიმედო გზაა ერთი დღე უმიზეზოდ hash-ების შეცვლაში გაატაროთ.