AH немесе ESP? Пакет нені қорғауы керектігіне қарай шешіңіз

Екі IPsec ұсынысы бірдей SHA негізіндегі тұтастық алгоритмін атап, соған қарамастан әртүрлі қорғау протоколдарын талап ете алады; AH мен ESP бір аутентификация параметрінің екі жазылымы емес. Алдымен протоколды, содан кейін оның алгоритмдерін, содан кейін режимін оқыңыз, және белгісіздіктің көбі жоғалады. AH пакетті, оның ішінде жолда өзгермейтін IP тақырып өрістерін тексереді, ал ESP өзі қаптайтын мазмұнды тексереді және шифрлайды, сыртқы тақырыпты тыныш қалдырады. Дәл осы айырмашылық кез келген hash атауынан гөрі көбірек енгізуді шешеді.

AH нені жабады, ESP жабпайды

AH тұтастықты, деректер көзінің аутентификациясын және өзі айқындаған қайталауға қарсы қызметті ұсынады, ешқандай құпиялылық жоқ. Оның қамтуы жоғарғы қабат деректерін және ережелері өзгермейтін деп санайтын IP тақырып өрістерін қамтиды, яғни ESP транспорт режимінде сыртта қалдыратын бөлікті. Егер талап IP тақырыбының өзін аутентификациялауды талап етсе, оған жауап беретін протокол AH.

Бұл қамту AH-тың іс жүзінде нәзік болуының себебі де. TTL, тақырыптың бақылау қосындысы және кейбір опциялар сияқты өзгермелі өрістерді аутентификациялау мүмкін емес, өйткені маршрутизаторлар оларды қайта жаза алады, сондықтан протокол тексеруді есептемес бұрын оларды нөлге келтіреді. Сондықтан мекенжайларды қайта жазатын кез келген нәрсе тек саясатты емес, есептеуді де бұзады.

NAT таңдауды шектеуге айналдырады

Мекенжай аудармасы AH жаңа ғана аутентификациялаған IP тақырыбындағы көзді немесе межені қайта жазады, сондықтан тұтастық тексерісі алыс жақта сәтсіз аяқталады, және ол оқуға болатын хабарлама ретінде емес, протокол қатесі ретінде сәтсіз аяқталады. ESP сыртқы тақырыпты аутентификацияламайды, сондықтан ESP NAT-тан өтумен жұмыс істейді, ал NAT артындағы AH істемейді. Екі жағы қарапайым маршрутизаторлардың артында тұрған туннель бұл ең алдымен сол жерде көрінеді. Сондықтан бірінші сұрақ қай протокол күшті емес, екі жақтың арасында аудармашы бар ма деген сұрақ.

Бар болса, AH тыс қалады, әңгіме ESP мен оның алгоритм таңдауына ауысады. Бұл артықшылық емес, шектеу, сондықтан оның орны шешімнің соңында емес, басында.

Режим сұрақты көбейтеді

ESP транспорт режимінде жоғарғы қабат жүктемесін қорғайды және IP тақырыбын тыныш қалдырады; туннель режимінде ішкі IP тақырыбын қоса, бүкіл ішкі пакетті қаптап қорғайды. AH-та дәл осы екі режим бар, сондықтан AH немесе ESP кез келген алгоритмді таңдамас бұрын шын мәнінде төрт комбинация.

Біріктірілген режимді ESP алгоритмдері содан кейін тұтастықты екінші протоколсыз шешеді. AES-GCM және ChaCha20-Poly1305 бір құрылымда аутентификациялайды және шифрлайды, сондықтан үстіне AH қосу ештеңе сатып алмайды, бірақ тағы бір тақырып пен тағы бір келіссөзді қажет етеді. Сәулет AH мен ESP-ге бірге рұқсат береді, және практикалық сұрақ сіздің шлюзіңыз бен шығарылымыңыз осы комбинацияны қолдай ма және кейін оны біреу сүйемелдей ала ма.

Тек AH үшін адал балама

Тек тұтастыққа арналған ESP нұсқасы алгоритмді сақтайды және шифрлау туралы мәлімдемені жалған жасаудың орнына одан бас тартады, және NAT-тан өтеді. Егер ескі жоба құпиялылықсыз аутентификация қажет болғандықтан AH қолданса, сол нұсқа тікелей аударма болып табылады, жазба жапсырылған шифрланған туннель емес.

Ұсыныста ESP көру де шифрлаудың дәлелі емес. Шифрлау алгоритмін оқыңыз: NULL жазбасы тек тұтастықты, ал біріктірілген режим жазбасы екеуін де білдіреді.

Үш сұрақпен шешіңіз

Құпиялылық қажет пе, жолда аудармашы бар ма, және қандай тақырып өрістері аутентификациялануы керек сұраңыз. Осы үш жауап бір протокол мен бір режимді көрсетеді, және оларды жазу кейін RFC-лерді қайта оқуға қарағанда аз уақыт алады.

Содан кейін ұсынылғанды емес, қабылданғанды тексеріңіз. ip xfrm state орнатылған ассоциацияның протоколын, режимін және алгоритмдерін көрсетеді, және сәйкессіздік ештеңе орнатпайды, бұл көзделген қорғаныссыз көтерілетін туннельден тазарақ сәтсіздік.

Аутентификация сәтсіздіктерін, селекторлардың қамтылуын және маршруттау қателерін осы таңдаудан бөлек ұстаңыз. Олар әртүрлі белгілер береді, және селектор мәселесі үшін протоколды кінәлау себепсіз hash ауыстырып бір күн өткізудің сенімді жолы.