AH же ESP? Пакет эмнени коргошу керектигине жараша чечиңиз

Эки IPsec сунушу бирдей SHA негизиндеги бүтүндүк алгоритмин атап, ошого карабастан ар башка коргоо протоколдорун талап кылышы мүмкүн; AH жана ESP бир аутентификация жөндөөсүнүн эки жазылышы эмес. Адегенде протоколду, андан кийин анын алгоритмдерин, андан кийин режимин окуңуз, жана белгисиздиктин көбү жоголот. AH пакетти, анын ичинде жолдо өзгөрбөгөн IP аталыш талааларын текшерет, ал эми ESP өзү каптаган мазмунду текшерет жана шифрлайт, сырткы аталышты тынч калтырат. Ушул айырма кандайдыр бир hash атынан көбүрөөк киргизүүнү чечет.

AH эмнени жабат, ESP жаббайт

AH бүтүндүктү, маалымат булагынын аутентификациясын жана өзү аныктаган кайталоого каршы кызматты берет, эч кандай купуялуулук жок. Анын камтуусу жогорку катмардын маалыматтарын жана эрежелери өзгөрбөс деп эсептеген IP аталыш талааларын камтыйт, башкача айтканда ESP транспорт режиминде сыртта калтырган бөлүктү. Эгер талап IP аталышынын өзүн аутентификациялоону талап кылса, ага жооп берүүчү протокол AH.

Бул камтуу AH практикада морт болушунун себеби да. TTL, аталыштын текшерүү суммасы жана айрым опциялар сыяктуу өзгөрмө талааларды аутентификациялоо мүмкүн эмес, анткени маршрутизаторлор аларды кайра жазышы мүмкүн, ошондуктан протокол текшерүүнү эсептөөдөн мурун аларды нөлгө келтирет. Ошондуктан даректөөлөрдү кайра жазган нерсе саясатты гана эмес, эсептөөнү да бузат.

NAT тандоону чектөөгө айландырат

Дарек котормосу AH жаңы эле аутентификациялаган IP аталышындагы булакты же багытты кайра жазат, ошондуктан бүтүндүк текшерүүсү алыскы тарапта ишке ашпайт, жана ал окула турган билдирүү катары эмес, протокол катасы катары ишке ашпайт. ESP сырткы аталышты аутентификациялабайт, ошондуктан ESP NAT аркылуу өтүү менен иштейт, ал эми NAT артындагы AH иштебейт. Эки тарабы кадимки маршрутизаторлордун артында турган туннель бул эң алгач ошол жерде көрүнөт. Ошондуктан биринчи суроо кайсы протокол күчтүү эмес, эки тараптын ортосунда котормочу барбы деген суроо.

Бар болсо, AH четте калат, сүйлөшүү ESP жана анын алгоритм тандоосуна өтөт. Бул артыкчылык эмес, чектөө, ошондуктан анын орду чечимдин аягында эмес, башында.

Режим суроону көбөйтөт

ESP транспорт режиминде жогорку катмардын жүгүн коргойт жана IP аталышын тынч калтырат; туннель режиминде ички IP аталышын кошо, бүт ички пакетти каптап коргойт. AH да ушундай эки режимге ээ, ошондуктан AH же ESP кандайдыр бир алгоритмди тандоодон мурун чынында төрт айкалыш.

Айкалышкан режимдеги ESP алгоритмдери андан кийин бүтүндүктү экинчи протоколсуз чечет. AES-GCM жана ChaCha20-Poly1305 бир курулушта аутентификациялайт жана шифрлайт, ошондуктан үстүнө AH кошуу эч нерсе сатып албайт, бирок дагы бир аталыш менен дагы бир сүйлөшүүнү талап кылат. Архитектура AH менен ESPге чогуу уруксат берет, жана практикалык суроо сиздин шлюзуңуз жана чыгарылышыңыз бул айкалышты колдойбу жана кийин аны кимдир бирөө тейлей алабы.

Жалгыз AH үчүн чынчыл алмаштырма

Жалгыз бүтүндүк үчүн ESP варианты алгоритмди сактайт жана шифрлоо тууралуу билдирүүнү жасалма кылбастан таштайт, жана NAT аркылуу өтөт. Эгер эски долбоор купуялуулуксуз аутентификация керек болгондуктан AH колдонсо, ошол вариант түз котормо болуп саналат, жазуу жабыштырылган шифрленген туннель эмес.

Сунушта ESP көрүү да шифрлоонун далили эмес. Шифрлоо алгоритмин окуңуз: NULL жазуусу жалгыз бүтүндүктү, ал эми айкалышкан режим жазуусу экөөнү тең билдирет.

Үч суроо менен чечиңиз

Купуялуулук керекпи, жолдо котормочу барбы, жана кайсы аталыш талаалары аутентификацияланышы керек сураңыз. Бул үч жооп бир протокол менен бир режимди көрсөтөт, жана аларды жазуу кийин RFCлерди кайра окууга караганда аз убакыт алат.

Андан кийин сунушталганды эмес, кабыл алынганды текшериңиз. ip xfrm state орнотулган ассоциациянын протоколун, режимин жана алгоритмдерин көрсөтөт, жана шайкешсиздик эч нерсе орнотпойт, бул көздөлгөн коргоосуз көтөрүлгөн туннелден тазараак ийгиликсиздик.

Аутентификация ийгиликсиздиктерин, селекторлордун камтылышын жана маршруттоо каталарын бул тандоодон бөлүп кармаңыз. Алар ар башка белгилерди беришет, жана селектор маселеси үчүн протоколду күнөөлөө себепсиз hash алмаштырып бир күн өткөрүүнүн ишенимдүү жолу.