Транспортен или тунелски режим: одлучете по пакетот, а не по шемата
Транспортот и тунелот опишуваат што стои внатре во ESP, а не дали е вклучен домаќин или порта. Три прашања одредуваат кој режим му е потребен на распоредувањето.
Шемите од учебниците го поврзуваат транспортниот режим со два домаќини, а тунелскиот режим со две порти, и ова правило важи до првото распоредување што го крши. Режимот опишува што го обвива ESP пакетот, а не кои се страните. Порта може да го заштити сообраќајот во транспортен режим, а пар домаќини може да го користи тунелскиот режим ако така избере. Три прашања одредуваат што му е потребно на конкретно распоредување.
Режимот е распоред, а не топологија
Во транспортниот режим ESP заглавието доаѓа по IP заглавието и пред носивоста на следниот слој, така што оригиналното IP заглавие останува надвор и видливо. Во тунелскиот режим заштитената содржина е целосен IP пакет, а новото надворешно заглавие ги именува двата IPsec партнери.
| Mode | What follows the outer IP header | Headers a capture shows |
|---|---|---|
| Transport | ESP, then the next-layer payload | One IP header |
| Tunnel | ESP, then a whole inner IP packet | Outer and inner headers |
Кога е избрана доверливост, заштитената област во тунелскиот режим го вклучува тоа внатрешно IP заглавие, поради што снимката не може да ги каже вистинските крајни точки без клучеви. Надворешното заглавие останува читливо во двата случаи, и токму тоа воопшто ја овозможува работата со грешки.
Прво прашање: што точно има внатре во ESP
Погледнете го пакетот што го создава апликацијата и прашајте која граница го штити. Ако одговорот е транспортната носивост меѓу две веќе точни адреси, транспортниот режим одговара без измислување второ заглавие. Ако заштитената содржина бара свои адреси, бидејќи вистинските крајни точки се разликуваат од партнерите што го носат сообраќајот, работата ја врши тунелскиот режим. Двата случаи постојат во истата организација, поради што една изјава за политика ретко ги покрива сите.
На ова прашање може да се одговори од снимка и од табела за рутирање. На него не може да се одговори од цртеж што кутиите ги нарекува клиент и сервер. Снимка направена кај било која страна покажува во неколку секунди на кој од двата гледате.
Второ прашање: дали внатре веќе има тунел
L2TP е историски противпример што ја покажува поентата. Услугата носи PPP внатре во L2TP сесија, а IPsec ја штити таа размена; распоредот одредува транспортен режим, при што тунелскиот режим е дозволен како опција. Видливиот резултат е тунел на ниво на услуга чија надворешна заштита користи транспортен режим.
Значи присуството на зборот тунел во описот на производ не кажува ништо за режимот на слојот под него. Запишете кое прашање го реши тоа, бидејќи следниот рецензент ќе го праша истото. Читајте ја спецификацијата за таа комбинација наместо да заклучувате од името, бидејќи таа навика ги спречува повеќето расправии за тоа што треба да поддржува производот.
Трето прашање: што бара партнерот
Два партнери мора да се согласат, а предлогот што нуди еден режим додека другиот бара вториот пропаѓа за време на преговорите наместо тивко да деградира. Прашајте го сопственикот на далечниот крај кој режим го именува политиката и проверете го предлогот, а не резимето на документацијата.
Мешаните средини се вообичаени: една порта завршува сесии во транспортен режим за стар производ и сесии во тунелски режим за врска помеѓу локации. Режимот е за секоја асоцијација, не за уред. Побарајте список на асоцијации, а не името на функцијата, бидејќи името патува побрзо од конфигурацијата.
Читање на постоечката асоцијација
За преглед наведете ги партнерите, режимот, селекторите и протоколот на следниот слој, па додајте какво било инкапсулирање завиткано околу резултатот. Преводот на адреси додава свој надворешен поглед и не е режим; преведениот тек и понатаму може да биде кој било од двата. Списокот е единствениот артефакт што ја прикажува асоцијацијата како инсталирана, а не како предвидена.
Завршете со прашањето за рутирање и авторизација, бидејќи точниот распоред на пакетот не ви кажува ништо за тоа кои подмрежи се дозволени или дали постои повратен пат. Тие живеат во политиката и во табелата за рутирање, и ниту едно не го менува аргументот за режимот.