Transport- oder Tunnelmodus: entscheet nom Paket, net nom Diagramm
Transport an Tunnel beschreiwen, wat am ESP dran ass, net ob en Host oder en Gateway bedeelegt ass. Dräi Froen entscheeden, wéi ee Modus en Asaz brauch.
Léierbuchdiagrammen verbannen den Transportmodus mat zwéi Hosts an den Tunnelmodus mat zwéi Gateways, an déi Faustregel hält bis zum éischten Asaz, deen se brécht. De Modus beschreift, wat de ESP-Paket ëmhëlt, net wien d’Parteien sinn. En Gateway kann den Trafic am Transportmodus schützen, an e Puer Hosts kann den Tunnelmodus benotzen, wann et dat wëllt. Dräi Froen entscheeden, wat en bestëmmten Asaz brauch.
De Modus ass eng Anuerdnung, keng Topologie
Am Transportmodus kënnt den ESP-Header nom IP-Header a virum Payload vun der nächster Schicht, sou datt den ursprénglechen IP-Header dobaussen a siichtbar bleift. Am Tunnelmodus ass de geschützten Inhalt e kompletten IP-Paket, an en neien äusseren Header nennt déi zwou IPsec-Parteien.
| Mode | What follows the outer IP header | Headers a capture shows |
|---|---|---|
| Transport | ESP, then the next-layer payload | One IP header |
| Tunnel | ESP, then a whole inner IP packet | Outer and inner headers |
Wann d’Vertraulechkeet gewielt ass, ëmfaasst de geschützte Beräich am Tunnelmodus dee banneschten IP-Header, an dofir kann eng Opnam ouni Schlëssel d’real Endpunkte net soen. Den äusseren Header bleift a béide Fäll liesbar, an dat ass et, wat d’Fehlersich iwwerhaapt méiglech mécht.
Éischt Fro: wat ass genee am ESP dran
Kuckt de Paket, deen d’Applikatioun produzéiert, a frot, wéi eng Grenz en schützt. Wann d’Äntwert de Transportpayload tëscht zwou Adresse ass, déi schonn richteg sinn, passt den Transportmodus ouni en zweeten Header ze erënneren. Wann de geschützten Inhalt seng eegen Adressen brauch, well déi real Endpunkte vun de Parteien, déi den Trafic droen, ënnerscheeden, mécht den Tunnelmodus d’Aarbecht. Béid Fäll ginn et an der selwechter Organisatioun, an dofir deckt eng eenzeg Politikausso selten alles of.
Déi Fro kann een aus enger Opnam an enger Routingtabell beäntweren. Een kann se net aus enger Zeechnung beäntweren, déi d’Këschte Client a Server nennt. Eng Opnam, déi bei engem vun de Parteien geholl gëtt, weist a Sekonnen, wéi eng vun den zwou dir kuckt.
Zweet Fro: ass schonn en Tunnel dran
L2TP ass de historesche Géigenbeispill, deen de Punkt mécht. Den Déngscht dréit PPP an enger L2TP-Sëtzung, an IPsec schützt deen Austausch; d’Anuerdnung spezifizéiert den Transportmodus, woubäi den Tunnelmodus als Optioun erlaabt ass. Dat siichtbart Resultat ass en Tunnel op Déngschtniveau, deem säin äusseren Schutz den Transportmodus benotzt.
Also seet d’Wuert Tunnel an enger Produktbeschreiwung näischt iwwer de Modus vun der Schicht drënner. Notéiert, wéi eng Fro dat decidéiert huet, well de nächsten Iwwerpréifer wäert datselwecht froen. Liest d’Spezifikatioun fir déi Kombinatioun, amplaz vum Numm aus ze schléissen, well déi Gewunnecht déi meescht Diskussiounen doriwwer verhënnert, wat e Produkt muss ënnerstëtzen.
Drëtt Fro: wat verlaangt d’Partei
Zwou Parteie mussen sech eens ginn, an e Virschlag, deen ee Modus ubitt, wärend déi aner deen zweeten verlaangt, schléit während der Verhandelung fehl, amplaz sech stëll ze verschlechteren. Frot den Eegentemer vum wäitem Enn, wéi ee Modus d’Politik nennt, a kontrolléiert de Virschlag an net d’Zesummefaassung vun der Dokumentatioun.
Gemëscht Ëmfeld sinn heefeg: ee Gateway terminéiert Transportmodus-Sëtzungen fir en ale Produkt an Tunnelmodus-Sëtzungen fir eng Standuert-Verbindung. De Modus ass pro Associatioun, net pro Apparat. Frot no der Lëscht vun den Associatiounen an net nom Numm vun der Funktioun, well den Numm reest méi séier wéi d’Konfiguratioun.
Déi existéierend Associatioun liesen
Fir eng Iwwerpréiwung, zielt d’Parteien, de Modus, d’Selektoren an de Protokoll vun der nächster Schicht op, a füügt dann all Enkapsuléierung derbäi, déi ëm d’Resultat gewéckelt ass. D’Adressiwwersetzung füügt seng eege baussenzeg Vue derbäi an ass kee Modus; en iwwersetzte Floss kann nach ëmmer eng vun den zwou sinn. D’Lëscht ass dat eenzegt Artefakt, dat d’Associatioun weist wéi se installéiert ass, an net wéi se geduecht war.
Schléisst mat der Fro no Routing an Autorisatioun of, well eng korrekt Paket-Anuerdnung Iech näischt doriwwer seet, wéi eng Subnetzer erlaabt sinn oder ob de Réckwee existéiert. Déi liewen an der Politik an an der Routingtabell, an keng vun deenen zwou ännert d’Argument iwwer de Modus.