IPsec меѓу два хоста: каде заштитата почнува и каде завршува

Заштитата на пар хоста почнува таму каде што завршува безбедносната асоцијација, и токму тој факт најчесто го пропушта интуицијата обликувана од порти. Серверот на апликација и неговиот сервер на база на податоци можат директно да го штитат својот разговор, без ниеден концентратор за далечински пристап на патот, и границата на заштита тогаш лежи во внатрешноста на секој хост, а не во заштитен ѕид. Она што тоа го дава е покриеност од крај до крај за избрани текови. Она што не го дава е одлука за тоа кој смее да чита кој ред.

Границата е таму каде што завршува SA

RFC 4301 ги опишува безбедносните асоцијации во транспортниот режим како распоред што обично се користи меѓу пар хоста за заштита од крај до крај. Тие два хоста ги држат клучевите и секој одлучува кои од неговите сопствени пакети влегуваат во асоцијацијата. Тунелот на портата завршува сосема на друго место и стигнува до хостот преку дополнителен внатрешен сегмент, што е друга граница на доверба дури и кога пакетот е шифриран на поголемиот дел од патот.

Хост-на-хост и транспортниот режим, сепак, не се синоними. Два хоста можат исто толку правилно да изградат асоцијација во тунелски режим меѓу себе, затоа најпрво изберете режим, а потоа опишете ги крајните точки. Запишете ги двете во белешката за проект до адресите на партнерите, зашто рецензент што го знае само режимот ќе го претпостави другиот.

SPD одлучува за заштитата, рутата одлучува за насоката

Табелата за насочување одговара на тоа каде оди пакетот. Базата на безбедносна политика одговара на тоа како избраниот сообраќај ја преминува границата на заштита, и тоа го прави за секоја насока со свои селектори. Таа поделба е причината зошто функционална рута до базата на податоци не докажува ништо за тоа дали барањето било заштитено, и зошто воспоставено преговарање не докажува ништо за тоа дали се совпаднала токму оваа апликација. Споредете ги селекторите пред да ги споредите бројачите, зашто бројачите ги опишуваат само тековите што стигнале толку далеку.

На Linux ip xfrm policy ги печати тие записи со нивната насока, приоритет, селектор и дејство дозволи, блокирај или фати, додека ip xfrm state ги прикажува настанатите асоцијации и нивните бројачи. Читањето на двете заедно е начинот да го најдете текот што тивко го заобиколил тунелот зашто поширок запис за дозвола се совпаднал прв.

Редоследот на приоритети е дел од политиката, а не подробност од имплементацијата. Тесен запис што би требало да го штити портот на базата на податоци губи од поширок запис со повисок приоритет, и дефектот изгледа како политиката никогаш да не била прашана.

Транспортниот режим го покрива следниот слој, а не IP заглавието

Во транспортниот режим ESP заглавието седи меѓу IP заглавието и полезниот товар, а адресните полиња на тоа заглавие остануваат видливи за секој уред на патот. Тоа е во ред кога адресите не се тајната, а товарот е. Тоа е погрешен избор ако треба да ја сокриете и внатрешната топологија, зашто само тунелскиот режим го завиткува изворното заглавие во ново.

Двата режима можат да носат неколку протоколи од следниот слој, а ESP ќе го штити она што се совпаѓа со селекторот, а не сѐ што испраќа хостот.

Изборот е потесен од врската

Една асоцијација може да носи повеќе текови, но само тие што ги избира политиката. Забележете ги идентитетите на партнерите, изворните и одредишните адреси, протоколот и опфатот на услугата за односот што го намеравате, потоа одделно одлучете дали несоодветниот сообраќај смее да оди отворено, дали мора да биде заштитен или дали мора да биде отфрлен кога асоцијацијата не е достапна. Токму последната одлука создава изненадувања, зашто правило што бара заштита за погрешен извор може да го блокира вашиот сопствен пристап за управување исто толку делотворно како што блокира натрапник.

Држете одобрена вонпојасна патека додека ја менувате примената, и тестирајте ја пред да ви затреба, а не откако двата хоста ќе станат недостапни.

Идентитетот на машината не е дозвола на апликацијата

IPsec потврдува конфигуриран партнер и штити избрани пакети. Не одлучува кој запис во базата на податоци смее да го уредува некоја личност и не го претвора доверливиот идентитет на серверот во доделување на сите апликациски привилегии. Сметките на апликацијата, улогите и авторизацијата остануваат точно таму каде што биле, а барањето за TLS на ниво на апликација ја задржува сопствената цел дури и кога мрежната патека е веќе заштитена.

Прифатете го проектот со една операција од предвидениот извор и една што треба да биде одбиена, и вклучете што се случува кога бараната асоцијација не може да се воспостави. Обичен тест за достапност ви кажува дека пакетите се движат; не ви кажува дека се движеле според политиката што сте ја напишале.