IPsec tëschent zwee Hosts: wou de Schutz ufänkt an ophält
En Hostpaar ka gewielte Flëss ouni Gateway schützen. Definéiert d'Endpunkten, d'Politik déi den Trafik auswielt an d'Berechtegungen déi getrennt bleiwen.
De Schutz op engem Hostpaar fänkt do un, wou d'Sécherheetsassociatioun ophält, an dat ass de Fait, deen déi meescht Gateway-fërmeg Intuition iwwersäit. En Applikatiounsserver an säi Datebankeserver kënnen hir eege Konversatioun direkt schützen, ouni enger Remote-Access-Konzentrator am Wee, an d'Schutzgrenz läit dann an all Host amplaz an enger Firewall. Wat dat bréngt, ass Ofdeckung vun engem Enn bis op dat anert fir gewielt Flëss. Wat et net bréngt, ass eng Decisioun driwwer, wien wat fir eng Zeil liese darf.
D'Grenz ass do, wou d'SA ophält
RFC 4301 beschreift Sécherheetsassociatiounen am Transportmodus als déi Arrangement, dat typescherweis tëschent engem Hostpaar fir Schutz vun engem Enn bis op dat anert benotzt gëtt. Déi zwou Hosten halen d'Schlësselen, an all eenzel entscheet, wéi eng vu sengen eegene Pakete an d'Associatioun agoen. En Gateway-Tunnel hält ganz aner Plaz op a mécht den Host iwwer en zousätzlecht intern Segment erreechbar, wat eng aner Vertrauensgrenz ass, och wann de Paket de gréissten Deel vu senger Rees verschlësselt ass.
Host-zu-Host an Transportmodus sinn awer keng Synonyme. Zwee Hoste kënnen grad esou richteg eng Associatioun am Tunnelmodus tëschent sech opbauen, also wielt fir d'éischt de Modus a beschreift duerno d'Endpunkten. Schreift déi zwou an d'Designnotiz niewent den Adressen vun de Partner, well en Iwwerpréifer, deen nëmmen de Modus kennt, deen aneren unhuele wäert.
D'SPD entscheet iwwer de Schutz, d'Route entscheet iwwer d'Richtung
Eng Routingstabell beäntwert, wou e Paket higeet. D'Sécherheetspolitik-Datebank beäntwert, wéi den ausgewielten Trafik d'Schutzgrenz iwwerschreit, an et mécht dat pro Richtung mat sengen eegene Selektoren. Déi Spléckung ass de Grond, firwat eng funktionéierend Route bis bei d'Datebank näischt driwwer beweist, ob d'Ufro geschützt war, a firwat eng etabléiert Verhandlung näischt beweist driwwer, ob déi spezifesch Applikatioun dozou gepasst huet. Vergläicht d'Selektoren, ier Dir d'Zähler vergläicht, well d'Zähler nëmmen déi Flëss beschreiwen, déi esou wäit komm sinn.
Um Linux dréckt ip xfrm policy déi Andräg mat hirer Richtung, Prioritéit, Selekter an Aktioun erlaben, blockéieren oder falen aus, während ip xfrm state déi doraus resultéierend Associatiounen an hir Zähler weist. Béides zesumme liesen ass de Wee, de Floss ze fannen, deen den Tunnel roueg ëmgaang huet, well en brederen Erlaben-Andrag fir d'éischt gepasst huet.
D'Prioritéitsuerdnung ass en Deel vun der Politik, keen Ëmsetzungsdetail. En schmuelen Andrag, deen de Datebankport schütze sollt, verléiert géint en breeden Andrag mat héijer Prioritéit, an de Feeler gesäit aus, wéi wann d'Politik ni gefrot gouf.
Den Transportmodus deckt déi nächst Schicht, net den IP-Header
| Transport mode | Tunnel mode | |
|---|---|---|
| Original IP header | kept for routing the flow | replaced by an outer header |
| What ESP protects | the carried next-layer payload | the whole inner IP packet |
| Where it terminates | commonly the two hosts | gateway pair, or a host pair |
Am Transportmodus sëtzt den ESP-Header tëschent dem IP-Header an der Notzlaascht, an d'Adressfelder vun deem Header bleiwen fir all Apparat um Wee sichtbar. Dat ass gutt, wann d'Adressen net de Geheimnis sinn an d'Notzlaascht et ass. Et ass déi falsch Wiel, wann Dir zousätzlech d'intern Topologie verstoppe musst, well nëmmen den Tunnelmodus den ursprénglechen Header an en neien abläscht.
Béid Moden kënnen e puer Protokoller vun der nächster Schicht droen, an ESP schützt dat, wat de Selekter entsprécht, amplaz alles, wat den Host schéckt.
D'Auswiel ass méi schmuel wéi d'Verbindung
Eng eenzeg Associatioun kann e puer Flëss droen, awer nëmmen déi, déi d'Politik auswielt. Notéiert d'Identitéiten vun de Partner, d'Quell- an Destinatiounsadressen, de Protokoll an den Ëmfang vum Service fir d'Verhältnis, dat Dir virgesitt, a entscheet duerno getrennt, ob net passenden Trafik oppe goe kann, ob en geschützt musse ginn oder ob en verworf musse ginn, wann d'Associatioun net disponibel ass. Déi lescht Decisioun ass déi, déi Iwwerraschungen produzéiert, well eng Regel, déi Schutz fir déi falsch Quell verlaangt, Ären eegene Verwaltungszougang esou wierksam ka blockéieren, wéi se en Andringling blockéiert.
Haalt en approbéierte Baussent-Band-Wee, während Dir d'Ëmsetzung ännert, a testt en, ier Dir en braucht, amplaz no deem, datt béid Hosten onereechbar gi sinn.
Maschinnenidentitéit ass keng Applikatiounsberechtegung
IPsec authentifizéiert e konfiguréierte Partner a schützt ausgewielt Paketen. Et entscheet net, wéi en Datebank-Record eng Persoun däerf änneren, an et verwandelt eng vertrauenswürdeg Serveridentitéit net an d'Gewährung vun all Applikatiounsprivileg. Applikatiounskonten, Rollen an Autorisatioun bleiwen genau do, wou se waren, an eng TLS-Fuerderung op Applikatiounsniveau behält hiren eegene Zweck, och wann de Netzwierkwee schonn geschützt ass.
Akzeptéiert den Design mat enger Operatioun aus der virgesinner Quell an enger, déi verworf musse ginn, a setzt derbäi, wat geschitt, wann déi erfuerderlech Associatioun net kann etabléiert ginn. En gewéinlechen Erreechbarkeetstest seet Iech, datt Paketen sech beweegen; et seet Iech net, datt se sech ënner der Politik beweegt hunn, déi Dir geschriwwen hutt.