Көлік немесе туннель режимі: диаграммамен емес, пакетпен шешіңіз
Көлік және туннель ESP ішінде не бар екенін сипаттайды, хост немесе шлюз қатыса ма дегенді емес. Үш сұрақ орналастыруға қай режим қажет екенін анықтайды.
Оқулық диаграммалары көлік режимін екі хостқа, ал туннель режимін екі шлюзге сәйкестендіреді, және бұл ереже оны бұзатын алғашқы орналастыруға дейін ғана сақталады. Режим ESP пакеті нені орап тұрғанын сипаттайды, тараптардың кім екенін емес. Шлюз көлік режимінде трафикті қорғай алады, ал хосттар жұбы қаласа туннель режимін пайдалана алады. Үш сұрақ нақты орналастыруға не қажет екенін анықтайды.
Режим — орналасу, топология емес
Көлік режимінде ESP тақырыбы IP тақырыбынан кейін және келесі қабаттың пайдалы жүктемесінен бұрын келеді, сондықтан бастапқы IP тақырыбы сыртта және көрінетін күйде қалады. Туннель режимінде қорғалған мазмұн толық IP пакеті, ал жаңа сыртқы тақырып екі IPsec тарапын атайды.
| Mode | What follows the outer IP header | Headers a capture shows |
|---|---|---|
| Transport | ESP, then the next-layer payload | One IP header |
| Tunnel | ESP, then a whole inner IP packet | Outer and inner headers |
Құпиялылық таңдалғанда туннель режиміндегі қорғалған аймақ сол ішкі IP тақырыбын қамтиды, сондықтан бірде-бір түсірілім кілттерсіз нақты соңғы нүктелерді айта алмайды. Сыртқы тақырып екі жағдайда да оқылатын күйде қалады, және дәл осы ақаулықты жоюды жалпы мүмкін етеді.
Бірінші сұрақ: ESP ішінде дәл не бар
Қолданба жасайтын пакетке қарап, оны қай шекара қорғайтынын сұраңыз. Егер жауап бұрыннан дұрыс екі мекенжай арасындағы көлік пайдалы жүктемесі болса, көлік режимі екінші тақырып ойлап таппай сәйкес келеді. Егер қорғалған мазмұнға өз мекенжайлары қажет болса, өйткені нақты соңғы нүктелер трафикті тасымалдайтын тараптардан өзгеше, істі туннель режимі атқарады. Екі жағдай да бір ұйымда кездеседі, сондықтан бір саясат мәлімдемесі бәрін қамти бермейді.
Бұл сұраққа түсірілім мен маршруттау кестесінен жауап беруге болады. Оған жәшіктерді клиент және сервер деп атайтын сызбадан жауап беруге болмайды. Кез келген тарапта алынған түсірілім секундтар ішінде екеуінің қайсысына қарап отырғаныңызды көрсетеді.
Екінші сұрақ: ішінде туннель бұрыннан бар ма
L2TP — бұл ойды көрсететін тарихи қарсы мысал. Қызмет L2TP сессиясының ішінде PPP тасымалдайды, ал IPsec сол алмасуды қорғайды; орналасу көлік режимін белгілейді, ал туннель режиміне опция ретінде рұқсат беріледі. Көрінетін нәтиже — қызмет деңгейіндегі туннель, оның сыртқы қорғанысы көлік режимін пайдаланады.
Сондықтан өнім сипаттамасында туннель сөзінің болуы оның астындағы қабаттың режимі туралы ештеңе айтпайды. Қай сұрақ мұны шешкенін жазып қойыңыз, өйткені келесі шолушы да сол нәрсені сұрайды. Атаудан пайымдаудың орнына сол комбинацияның спецификациясын оқыңыз, өйткені бұл әдет өнімнің нені қолдауы керектігі туралы даулардың көбін болдырмайды.
Үшінші сұрақ: тарап не талап етеді
Екі тарап келісуі керек, ал бір режимді ұсынып, екіншісі екіншісін талап ететін ұсыныс келіссөз кезінде сәтсіз аяқталады, тыныш нашарламайды. Алыс жақтың иесінен саясат қай режимді атайтынын сұраңыз және құжаттама қорытындысын емес, ұсынысты тексеріңіз.
Аралас орталар жиі кездеседі: бір шлюз ескі өнім үшін көлік режимінің сессияларын және сайт байланысы үшін туннель режимінің сессияларын аяқтайды. Режим әрбір ассоциация бойынша, құрылғы бойынша емес. Функция атауын емес, ассоциациялар тізімін сұраңыз, өйткені атау конфигурациядан жылдамырақ жүреді.
Бар ассоциацияны оқу
Шолу үшін тараптарды, режимді, селекторларды және келесі қабат протоколын тізімдеп, содан кейін нәтиженің айналасына оралған кез келген инкапсуляцияны қосыңыз. Мекенжай аудармасы өзінің сыртқы көрінісін қосады және режим емес; аударылған ағын әлі де екеуінің кез келгені бола алады. Тізім — ассоциацияны ниет етілгендей емес, орнатылған күйінде көрсететін жалғыз артефакт.
Маршруттау және авторизация сұрағымен аяқтаңыз, өйткені дұрыс пакет орналасуы қай қосымша желілерге рұқсат етілгенін немесе жауап жолы бар-жоғын айтпайды. Олар саясатта және маршруттар кестесінде тұрады, және ешқайсысы режим туралы дәйекті өзгертпейді.