ಎರಡು ಹೋಸ್ಟ್‌ಗಳ ನಡುವೆ IPsec: ರಕ್ಷಣೆ ಎಲ್ಲಿ ಆರಂಭವಾಗಿ ಎಲ್ಲಿ ನಿಲ್ಲುತ್ತದೆ
ಒಂದು ಜೋಡಿ ಹೋಸ್ಟ್‌ಗಳು ಗೇಟ್‌ವೇ ಇಲ್ಲದೆ ಆಯ್ದ ಹರಿವುಗಳನ್ನು ರಕ್ಷಿಸಬಹುದು. ಅಂತ್ಯ ಬಿಂದುಗಳು, ಸಂಚಾರವನ್ನು ಆಯ್ಕೆ ಮಾಡುವ ನೀತಿ ಮತ್ತು ಪ್ರತ್ಯೇಕವಾಗಿ ಉಳಿಯುವ ಅನುಮತಿಗಳನ್ನು ವ್ಯಾಖ್ಯಾನಿಸಿ.
ಹೋಸ್ಟ್‌ಗಳ ಜೋಡಿಯ ಮೇಲೆ ರಕ್ಷಣೆ ಭದ್ರತಾ ಸಂಘವು ಕೊನೆಗೊಳ್ಳುವಲ್ಲಿಯೇ ಆರಂಭವಾಗುತ್ತದೆ, ಮತ್ತು ಗೇಟ್‌ವೇ ಆಕಾರದ ಅಂತರ್ದೃಷ್ಟಿ ಹೆಚ್ಚಾಗಿ ತಪ್ಪಿಸಿಕೊಳ್ಳುವ ಸತ್ಯ ಅದೇ. ಒಂದು ಅನ್ವಯ ಸರ್ವರ್ ಮತ್ತು ಅದರ ಡೇಟಾಬೇಸ್ ಸರ್ವರ್ ತಮ್ಮ ಸಂಭಾಷಣೆಯನ್ನು ನೇರವಾಗಿ ರಕ್ಷಿಸಿಕೊಳ್ಳಬಹುದು, ಮಾರ್ಗದಲ್ಲಿ ಯಾವುದೇ ದೂರ ಪ್ರವೇಶ ಕೇಂದ್ರೀಕರಣವಿಲ್ಲದೆ, ಮತ್ತು ರಕ್ಷಣೆಯ ಗಡಿ ಆಗ ಫೈರ್‌ವಾಲ್‌ನಲ್ಲಿ ಅಲ್ಲದೆ ಪ್ರತಿ ಹೋಸ್ಟ್ ಒಳಗೆ ಇರುತ್ತದೆ. ಇದು ನಿಮಗೆ ಆಯ್ದ ಹರಿವುಗಳಿಗೆ ಆರಂಭದಿಂದ ಕೊನೆಯವರೆಗೆ ಕವರೇಜ್ ನೀಡುತ್ತದೆ. ಯಾರು ಯಾವ ಸಾಲನ್ನು ಓದಬಹುದು ಎಂಬ ನಿರ್ಣಯವನ್ನು ಇದು ನೀಡುವುದಿಲ್ಲ.
ಗಡಿ ಎಂಬುದು SA ಕೊನೆಗೊಳ್ಳುವಲ್ಲಿಯೇ
RFC 4301 ಸಾರಿಗೆ ಕ್ರಮದಲ್ಲಿನ ಭದ್ರತಾ ಸಂಘಗಳನ್ನು ಹೋಸ್ಟ್‌ಗಳ ಜೋಡಿ ನಡುವೆ ಆರಂಭದಿಂದ ಕೊನೆಯವರೆಗೆ ರಕ್ಷಣೆಗಾಗಿ ಸಾಮಾನ್ಯವಾಗಿ ಬಳಸುವ ಏರ್ಪಾಡು ಎಂದು ವಿವರಿಸುತ್ತದೆ. ಆ ಎರಡು ಹೋಸ್ಟ್‌ಗಳು ಕೀಲಿಗಳನ್ನು ಇಟ್ಟುಕೊಳ್ಳುತ್ತವೆ, ಪ್ರತಿಯೊಂದೂ ತನ್ನದೇ ಯಾವ ಪ್ಯಾಕೆಟ್‌ಗಳು ಸಂಘವನ್ನು ಪ್ರವೇಶಿಸುತ್ತವೆ ಎಂದು ನಿರ್ಣಯಿಸುತ್ತದೆ. ಒಂದು ಗೇಟ್‌ವೇ ಸುರಂಗವು ಸಂಪೂರ್ಣವಾಗಿ ಬೇರೆಡೆ ಕೊನೆಗೊಂಡು ಹೆಚ್ಚುವರಿ ಆಂತರಿಕ ಭಾಗದ ಮೂಲಕ ಹೋಸ್ಟ್ ತಲುಪುತ್ತದೆ, ಇದು ಬೇರೆ ನಂಬಿಕೆ ಗಡಿ, ಪ್ಯಾಕೆಟ್ ತನ್ನ ಪ್ರಯಾಣದ ಬಹುಪಾಲು ಗೂಢಲಿಪೀಕರಿಸಲ್ಪಟ್ಟಿದ್ದರೂ.
ಹೋಸ್ಟ್-ನಿಂದ-ಹೋಸ್ಟ್ ಮತ್ತು ಸಾರಿಗೆ ಕ್ರಮ ಆದರೂ ಸಮಾನಾರ್ಥಕಗಳಲ್ಲ. ಎರಡು ಹೋಸ್ಟ್‌ಗಳು ಪರಸ್ಪರ ಅದೇ ಮಟ್ಟಿಗೆ ಸರಿಯಾಗಿ ಸುರಂಗ ಕ್ರಮದ ಸಂಘವನ್ನು ನಿರ್ಮಿಸಬಹುದು, ಆದ್ದರಿಂದ ಮೊದಲು ಕ್ರಮವನ್ನು ಆಯ್ಕೆ ಮಾಡಿ ನಂತರ ಅಂತ್ಯ ಬಿಂದುಗಳನ್ನು ವಿವರಿಸಿ. ಎರಡನ್ನೂ ವಿನ್ಯಾಸ ಟಿಪ್ಪಣಿಯಲ್ಲಿ ಸಹಚರರ ವಿಳಾಸಗಳ ಪಕ್ಕದಲ್ಲಿ ಬರೆಯಿರಿ, ಏಕೆಂದರೆ ಕ್ರಮವನ್ನು ಮಾತ್ರ ತಿಳಿದಿರುವ ವಿಮರ್ಶಕರು ಇನ್ನೊಂದನ್ನು ಊಹಿಸುತ್ತಾರೆ.
SPD ರಕ್ಷಣೆಯನ್ನು, ಮಾರ್ಗವು ದಿಕ್ಕನ್ನು ನಿರ್ಣಯಿಸುತ್ತದೆ
ಮಾರ್ಗನಿರ್ದೇಶನ ಕೋಷ್ಟಕ ಪ್ಯಾಕೆಟ್ ಎಲ್ಲಿಗೆ ಹೋಗುತ್ತದೆ ಎಂದು ಉತ್ತರಿಸುತ್ತದೆ. ಭದ್ರತಾ ನೀತಿಯ ಡೇಟಾಬೇಸ್ ಆಯ್ದ ಸಂಚಾರ ರಕ್ಷಣಾ ಗಡಿಯನ್ನು ಹೇಗೆ ದಾಟುತ್ತದೆ ಎಂದು ಉತ್ತರಿಸುತ್ತದೆ, ಮತ್ತು ಅದನ್ನು ಪ್ರತಿ ದಿಕ್ಕಿಗೂ ತನ್ನದೇ ಆಯ್ಕೆಗಾರರೊಂದಿಗೆ ಮಾಡುತ್ತದೆ. ಆ ವಿಭಜನೆಯೇ ಕಾರಣ, ಡೇಟಾಬೇಸ್‌ವರೆಗಿನ ಕಾರ್ಯನಿರ್ವಹಿಸುವ ಮಾರ್ಗವು ವಿನಂತಿ ರಕ್ಷಿತವಾಗಿತ್ತೇ ಎಂಬುದರ ಮೇಲೆ ಏನನ್ನೂ ಸಾಬೀತುಪಡಿಸುವುದಿಲ್ಲ, ಮತ್ತು ಸ್ಥಾಪಿತ ಮಾತುಕತೆ ಏನನ್ನೂ ಸಾಬೀತುಪಡಿಸುವುದಿಲ್ಲ ಈ ನಿರ್ದಿಷ್ಟ ಅನ್ವಯ ಅದರೊಂದಿಗೆ ಹೊಂದಿಕೆಯಾಯಿತೇ ಎಂಬುದರ ಮೇಲೆ. ಎಣಿಕೆಗಾರರನ್ನು ಹೋಲಿಸುವ ಮೊದಲು ಆಯ್ಕೆಗಾರರನ್ನು ಹೋಲಿಸಿ, ಏಕೆಂದರೆ ಎಣಿಕೆಗಾರರು ಅಲ್ಲಿಯವರೆಗೆ ತಲುಪಿದ ಹರಿವುಗಳನ್ನು ಮಾತ್ರ ವಿವರಿಸುತ್ತವೆ.
Linux ನಲ್ಲಿ, ip xfrm policy ಆ ನಮೂದುಗಳನ್ನು ಅವುಗಳ ದಿಕ್ಕು, ಆದ್ಯತೆ, ಆಯ್ಕೆಗಾರ ಮತ್ತು ಅನುಮತಿ, ತಡೆ ಅಥವಾ ಬಲೆ ಎಂಬ ಕ್ರಿಯೆಯೊಂದಿಗೆ ಮುದ್ರಿಸುತ್ತದೆ, ಆದರೆ ip xfrm state ಉಂಟಾದ ಸಂಘಗಳನ್ನು ಮತ್ತು ಅವುಗಳ ಎಣಿಕೆಗಾರರನ್ನು ತೋರಿಸುತ್ತದೆ. ಎರಡನ್ನೂ ಒಟ್ಟಿಗೆ ಓದುವುದೇ, ವಿಶಾಲ ಅನುಮತಿ ನಮೂದು ಮೊದಲು ಹೊಂದಿಕೆಯಾದ್ದರಿಂದ ಸುರಂಗವನ್ನು ಮೌನವಾಗಿ ಬಳಸಿಕೊಂಡ ಹರಿವನ್ನು ಕಂಡುಹಿಡಿಯುವ ದಾರಿ.
ಆದ್ಯತೆಯ ಕ್ರಮ ನೀತಿಯ ಭಾಗ, ಅನುಷ್ಠಾನದ ವಿವರವಲ್ಲ. ಡೇಟಾಬೇಸ್ ಪೋರ್ಟ್ ಅನ್ನು ರಕ್ಷಿಸಬೇಕಿದ್ದ ಸಣ್ಣ ನಮೂದು ಹೆಚ್ಚಿನ ಆದ್ಯತೆಯ ವಿಶಾಲ ನಮೂದಿನ ಎದುರು ಸೋಲುತ್ತದೆ, ಮತ್ತು ವೈಫಲ್ಯವು ನೀತಿಯನ್ನು ಎಂದಿಗೂ ಕೇಳಲೇ ಇಲ್ಲ ಎಂಬಂತೆ ಕಾಣುತ್ತದೆ.
ಸಾರಿಗೆ ಕ್ರಮ ಮುಂದಿನ ಪದರವನ್ನು ಆವರಿಸುತ್ತದೆ, IP ಶೀರ್ಷಿಕೆಯನ್ನಲ್ಲ
| Transport mode | Tunnel mode | |
|---|---|---|
| Original IP header | kept for routing the flow | replaced by an outer header |
| What ESP protects | the carried next-layer payload | the whole inner IP packet |
| Where it terminates | commonly the two hosts | gateway pair, or a host pair |
ಸಾರಿಗೆ ಕ್ರಮದಲ್ಲಿ ESP ಶೀರ್ಷಿಕೆ IP ಶೀರ್ಷಿಕೆ ಮತ್ತು ಪೇಲೋಡ್ ನಡುವೆ ಕುಳಿತುಕೊಳ್ಳುತ್ತದೆ, ಆ ಶೀರ್ಷಿಕೆಯ ವಿಳಾಸ ಕ್ಷೇತ್ರಗಳು ಮಾರ್ಗದ ಪ್ರತಿ ಸಾಧನಕ್ಕೂ ಕಾಣುತ್ತಲೇ ಇರುತ್ತವೆ. ವಿಳಾಸಗಳು ರಹಸ್ಯವಲ್ಲದಿದ್ದಾಗ ಮತ್ತು ಪೇಲೋಡ್ ರಹಸ್ಯವಾದಾಗ ಇದು ಸರಿ. ಆಂತರಿಕ ಟೋಪಾಲಜಿಯನ್ನೂ ಮರೆಮಾಡಬೇಕಿದ್ದರೆ ಇದು ತಪ್ಪು ಆಯ್ಕೆ, ಏಕೆಂದರೆ ಸುರಂಗ ಕ್ರಮ ಮಾತ್ರ ಮೂಲ ಶೀರ್ಷಿಕೆಯನ್ನು ಹೊಸದರೊಳಗೆ ಸುತ್ತುತ್ತದೆ.
ಎರಡೂ ಕ್ರಮಗಳು ಮುಂದಿನ ಪದರದ ಹಲವು ಪ್ರೋಟೋಕಾಲ್‌ಗಳನ್ನು ಹೊತ್ತೊಯ್ಯಬಲ್ಲವು, ESP ಆಯ್ಕೆಗಾರಕ್ಕೆ ಹೊಂದುವುದನ್ನು ರಕ್ಷಿಸುತ್ತದೆ, ಹೋಸ್ಟ್ ಕಳುಹಿಸುವುದೆಲ್ಲವನ್ನಲ್ಲ.
ಆಯ್ಕೆ ಸಂಪರ್ಕಕ್ಕಿಂತ ಸಣ್ಣದು
ಒಂದು ಸಂಘ ಹಲವು ಹರಿವುಗಳನ್ನು ಹೊತ್ತೊಯ್ಯಬಹುದು, ಆದರೆ ನೀತಿ ಆಯ್ಕೆ ಮಾಡುವವುಗಳನ್ನು ಮಾತ್ರ. ಸಹಚರರ ಗುರುತುಗಳು, ಮೂಲ ಮತ್ತು ಗಮ್ಯ ವಿಳಾಸಗಳು, ಪ್ರೋಟೋಕಾಲ್ ಮತ್ತು ನೀವು ಉದ್ದೇಶಿಸಿದ ಸಂಬಂಧದ ಸೇವಾ ವ್ಯಾಪ್ತಿಯನ್ನು ದಾಖಲಿಸಿ, ನಂತರ ಹೊಂದಿಕೆಯಾಗದ ಸಂಚಾರವು ಬಯಲಾಗಿ ಹೋಗಬಹುದೇ, ರಕ್ಷಿಸಲ್ಪಡಬೇಕೇ, ಅಥವಾ ಸಂಘ ಲಭ್ಯವಿಲ್ಲದಿದ್ದಾಗ ಎಸೆಯಬೇಕೇ ಎಂದು ಪ್ರತ್ಯೇಕವಾಗಿ ನಿರ್ಣಯಿಸಿ. ಈ ಕೊನೆಯ ನಿರ್ಣಯವೇ ಆಶ್ಚರ್ಯಗಳನ್ನು ಸೃಷ್ಟಿಸುತ್ತದೆ, ಏಕೆಂದರೆ ತಪ್ಪು ಮೂಲಕ್ಕೆ ರಕ್ಷಣೆ ಕೇಳುವ ನಿಯಮವು ನಿಮ್ಮ ಸ್ವಂತ ನಿರ್ವಹಣಾ ಪ್ರವೇಶವನ್ನು ಒಬ್ಬ ಒಳನುಗ್ಗುವವನನ್ನು ತಡೆಯುವಷ್ಟೇ ಪರಿಣಾಮಕಾರಿಯಾಗಿ ತಡೆಯಬಹುದು.
ಅನುಷ್ಠಾನವನ್ನು ಬದಲಿಸುವಾಗ ಅನುಮೋದಿತ ಪಟ್ಟಿ-ಹೊರಗಿನ ಮಾರ್ಗವನ್ನು ಇಟ್ಟುಕೊಳ್ಳಿ, ಎರಡೂ ಹೋಸ್ಟ್‌ಗಳು ತಲುಪಲಾಗದಂತಾದ ನಂತರವಲ್ಲ, ಅಗತ್ಯವಾಗುವ ಮೊದಲೇ ಅದನ್ನು ಪರೀಕ್ಷಿಸಿ.
ಯಂತ್ರದ ಗುರುತು ಅನ್ವಯದ ಅನುಮತಿಯಲ್ಲ
IPsec ಸಂರಚಿಸಿದ ಸಹಚರನನ್ನು ದೃಢೀಕರಿಸುತ್ತದೆ ಮತ್ತು ಆಯ್ದ ಪ್ಯಾಕೆಟ್‌ಗಳನ್ನು ರಕ್ಷಿಸುತ್ತದೆ. ಯಾವ ಡೇಟಾಬೇಸ್ ದಾಖಲೆಯನ್ನು ವ್ಯಕ್ತಿ ಸಂಪಾದಿಸಬಹುದು ಎಂದು ಅದು ನಿರ್ಣಯಿಸುವುದಿಲ್ಲ, ಮತ್ತು ವಿಶ್ವಾಸಾರ್ಹ ಸರ್ವರ್ ಗುರುತನ್ನು ಪ್ರತಿ ಅನ್ವಯ ವಿಶೇಷಾಧಿಕಾರದ ದಾನವಾಗಿ ಪರಿವರ್ತಿಸುವುದಿಲ್ಲ. ಅನ್ವಯ ಖಾತೆಗಳು, ಪಾತ್ರಗಳು ಮತ್ತು ಅಧಿಕಾರವು ಇದ್ದಲ್ಲಿಯೇ ಉಳಿಯುತ್ತವೆ, ಮತ್ತು ಅನ್ವಯ ಮಟ್ಟದ TLS ಅಗತ್ಯವು ಜಾಲದ ಮಾರ್ಗ ಈಗಾಗಲೇ ರಕ್ಷಿತವಾಗಿದ್ದರೂ ತನ್ನ ಉದ್ದೇಶವನ್ನು ಉಳಿಸಿಕೊಳ್ಳುತ್ತದೆ.
ವಿನ್ಯಾಸವನ್ನು ಉದ್ದೇಶಿತ ಮೂಲದಿಂದ ಒಂದು ಕ್ರಿಯೆ ಮತ್ತು ತಿರಸ್ಕರಿಸಬೇಕಾದ ಒಂದು ಕ್ರಿಯೆಯೊಂದಿಗೆ ಸ್ವೀಕರಿಸಿ, ಅಗತ್ಯವಿರುವ ಸಂಘವನ್ನು ಸ್ಥಾಪಿಸಲು ಸಾಧ್ಯವಾಗದಿದ್ದಾಗ ಏನಾಗುತ್ತದೆ ಎಂಬುದನ್ನೂ ಸೇರಿಸಿ. ಸಾಮಾನ್ಯ ಪ್ರವೇಶ ಪರೀಕ್ಷೆ ಪ್ಯಾಕೆಟ್‌ಗಳು ಚಲಿಸುತ್ತಿವೆ ಎಂದು ಹೇಳುತ್ತದೆ; ಅವು ನೀವು ಬರೆದ ನೀತಿಯ ಅಡಿಯಲ್ಲಿ ಚಲಿಸಿದವು ಎಂದು ಹೇಳುವುದಿಲ್ಲ.