Transporto ar tunelio režimas: spręskite pagal paketą, o ne pagal schemą
Transportas ir tunelis apibūdina, kas yra ESP viduje, o ne tai, ar dalyvauja mazgas ar šliuzas. Trys klausimai nustato, kokio režimo reikia diegimui.
Vadovėlių schemos transporto režimą sieja su dviem mazgais, o tunelio režimą su dviem šliuzais, ir ši taisyklė galioja iki pirmo diegimo, kuris ją sugriauna. Režimas apibūdina, ką ESP paketas apgaubia, o ne kas yra šalys. Šliuzas gali apsaugoti srautą transporto režimu, o mazgų pora gali naudoti tunelio režimą, jei taip pasirenka. Trys klausimai nustato, ko reikia konkrečiam diegimui.
Režimas yra išdėstymas, o ne topologija
Transporto režime ESP antraštė eina po IP antraštės ir prieš kito sluoksnio naudingąją apkrovą, todėl pradinė IP antraštė lieka išorėje ir matoma. Tunelio režime apsaugotas turinys yra visas IP paketas, o nauja išorinė antraštė įvardija du IPsec partnerius.
| Mode | What follows the outer IP header | Headers a capture shows |
|---|---|---|
| Transport | ESP, then the next-layer payload | One IP header |
| Tunnel | ESP, then a whole inner IP packet | Outer and inner headers |
Pasirinkus konfidencialumą, apsaugota sritis tunelio režime apima tą vidinę IP antraštę, todėl įrašas be raktų negali pasakyti tikrųjų galinių taškų. Išorinė antraštė abiem atvejais lieka įskaitoma, ir būtent tai apskritai leidžia šalinti triktis.
Pirmas klausimas: kas tiksliai yra ESP viduje
Pažiūrėkite į paketą, kurį sukuria programa, ir paklauskite, kuri riba jį saugo. Jei atsakymas yra transporto naudingoji apkrova tarp dviejų jau teisingų adresų, transporto režimas tinka neišrandant antros antraštės. Jei apsaugotam turiniui reikia savo adresų, nes tikrieji galiniai taškai skiriasi nuo srautą nešančių partnerių, darbą atlieka tunelio režimas. Abu atvejai egzistuoja toje pačioje organizacijoje, todėl vienas politikos teiginys retai apima viską.
Į šį klausimą galima atsakyti pagal įrašą ir maršrutų lentelę. Į jį negalima atsakyti pagal brėžinį, kuriame langeliai vadinami klientu ir serveriu. Įrašas, paimtas bet kurioje pusėje, per kelias sekundes parodo, į kurią iš dviejų žiūrite.
Antras klausimas: ar viduje jau yra tunelis
L2TP yra istorinis priešingas pavyzdys, parodantis mintį. Paslauga neša PPP L2TP sesijos viduje, o IPsec saugo tuos mainus; išdėstymas nurodo transporto režimą, o tunelio režimas leidžiamas kaip parinktis. Matomas rezultatas yra tunelis paslaugos lygmeniu, kurio išorinė apsauga naudoja transporto režimą.
Taigi žodis tunelis produkto aprašyme nieko nesako apie po juo esančio sluoksnio režimą. Užsirašykite, kuris klausimas tai nulėmė, nes kitas recenzentas paklaus to paties. Skaitykite to derinio specifikaciją, o ne samprotaukite iš pavadinimo, nes šis įprotis išvengia daugumos ginčų dėl to, ką produktas turi palaikyti.
Trečias klausimas: ko reikalauja partneris
Du partneriai turi susitarti, o pasiūlymas, kuris siūlo vieną režimą, kai kitas reikalauja antrojo, žlunga derybų metu, o ne tyliai prastėja. Paklauskite tolimojo galo savininko, kurį režimą įvardija politika, ir patikrinkite pasiūlymą, o ne dokumentacijos santrauką.
Mišrios aplinkos yra įprastos: vienas šliuzas užbaigia transporto režimo sesijas senam produktui ir tunelio režimo sesijas svetainės jungčiai. Režimas yra kiekvienai asociacijai, o ne įrenginiui. Prašykite asociacijų sąrašo, o ne funkcijos pavadinimo, nes pavadinimas keliauja greičiau nei konfigūracija.
Esamos asociacijos skaitymas
Peržiūrai išvardykite partnerius, režimą, selektorius ir kito sluoksnio protokolą, tada pridėkite bet kokį įkapsuliavimą, apvyniotą aplink rezultatą. Adresų vertimas prideda savo išorinį vaizdą ir nėra režimas; išverstas srautas vis tiek gali būti bet kuris iš dviejų. Sąrašas yra vienintelis artefaktas, parodantis asociaciją taip, kaip ji įdiegta, o ne taip, kaip numatyta.
Užbaikite maršrutizavimo ir autorizacijos klausimu, nes teisingas paketo išdėstymas nieko nesako apie tai, kurie potinkliai leidžiami ar ar yra atsakymo kelias. Jie gyvena politikoje ir maršrutų lentelėje, ir nė vienas nekeičia argumento dėl režimo.