AH эсвэл ESP? Пакет юуг хамгаалах ёстойгоос хамаарч шийд

Хоёр IPsec санал ижил SHA-д суурилсан бүрэн бүтэн байдлын алгоритмыг дурдаад, гэсэн хэдий ч өөр хамгаалалтын протокол шаардаж болно; AH ба ESP нь нэг баталгаажуулалтын тохиргооны хоёр бичиглэл биш юм. Эхлээд протоколыг, дараа нь түүний алгоритмуудыг, дараа нь түүний горимыг уншихад ихэнх тодорхойгүй байдал арилна. AH нь аяллын явцад өөрчлөгдөхгүй IP толгойн талбаруудыг оролцуулан пакетийг баталгаажуулдаг бол ESP нь өөрөө боож авсан зүйлээ баталгаажуулж, шифрлээд гадаад толгойг хөндөхгүй үлдээдэг. Энэ ялгаа нь аль ч hash нэрнээс илүү олон байршуулалтыг шийддэг.

AH юуг хамарч, ESP юуг хамахгүй

AH бүрэн бүтэн байдал, өгөгдлийн гарал үүслийн баталгаажуулалт, өөрөө тодорхойлсон давталтын эсрэг үйлчилгээг үзүүлдэг бөгөөд ямар ч нууцлал үзүүлэхгүй. Түүний хамрах хүрээнд дээд түвшний өгөгдөл болон дүрэм нь өөрчлөгдөхгүй гэж үздэг IP толгойн талбарууд багтах бөгөөд энэ нь ESP-ийн тээврийн горимд гадуур үлдээдэг хэсэг юм. Хэрэв шаардлага IP толгойг өөрөө баталгаажуулах ёстой гэж заавал, түүнд хариу өгөх протокол нь AH юм.

Энэ хамрах хүрээ нь AH практикт эмзэг байх шалтгаан болдог. TTL, толгойн хяналтын нийлбэр, зарим сонголт зэрэг өөрчлөгддөг талбаруудыг маршрутлагчид дахин бичиж болох тул баталгаажуулах боломжгүй, тиймээс протокол хяналтыг тооцоолохын өмнө тэдгээрийг тэг болгоно. Тиймээс хаягийг дахин бичдэг бүхэн зөвхөн бодлогыг бус тооцооллыг ч эвддэг.

NAT сонголтыг хязгаарлалт болгоно

Хаягийн орчуулга нь AH дөнгөж баталгаажуулсан IP толгой дахь эх сурвалж эсвэл очих газрыг дахин бичдэг тул бүрэн бүтэн байдлын шалгалт нөгөө талд бүтэлгүйтдэг бөгөөд энэ нь уншиж болох мессеж биш, протоколын алдаа болж бүтэлгүйтдэг. ESP нь гадаад толгойг баталгаажуулдаггүй, иймээс NAT-ыг дамжуулсан ESP ажилладаг бол NAT-ын цаана байгаа AH ажиллахгүй. Хоёр тал нь энгийн маршрутлагчийн цаана байгаа туннель нь үүнийг хамгийн түрүүнд харуулах газар юм. Тиймээс эхний асуулт аль протокол илүү хүчтэй вэ гэдэг биш, харин хоёр талын хооронд орчуулагч байгаа эсэх юм.

Хэрэв байвал AH хасагдаж, яриа ESP болон түүний алгоритмын сонголт руу шилжинэ. Энэ нь давуу тал биш хязгаарлалт тул шийдвэрийн төгсгөлд биш, эхэнд байх ёстой.

Горим асуултыг үржүүлнэ

ESP тээврийн горимд дээд түвшний ачааллыг хамгаалж, IP толгойг хөндөхгүй; туннелийн горимд дотоод IP толгойг оролцуулан бүх дотоод пакетыг боож хамгаална. AH мөн адил хоёр горимтой тул AH эсвэл ESP нь аливаа алгоритм сонгохоос өмнө үнэндээ дөрвөн хослол юм.

Хосолсон горимын ESP алгоритмууд дараа нь хоёр дахь протоколгүйгээр бүрэн бүтэн байдлыг шийднэ. AES-GCM болон ChaCha20-Poly1305 нь нэг бүтцэд баталгаажуулж, шифрлэдэг тул дээр нь AH нэмэх нь юу ч худалдаж авахгүй, харин өөр нэг толгой, өөр нэг хэлэлцээрийн зардал болно. Архитектур нь AH болон ESP-г хамт зөвшөөрдөг бөгөөд практик асуулт нь таны гарц болон хувилбар энэ хослолыг дэмждэг эсэх болон хожим хэн нэгэн үүнийг арчлах боломжтой эсэх юм.

Зөвхөн AH-ийн шударга орлуулга

Зөвхөн бүрэн бүтэн байдлын ESP хувилбар нь алгоритмыг хадгалж, шифрлэлтийн мэдэгдлийг хуурамчаар хийхийн оронд орхиж, NAT-ыг дамждаг. Хэрэв хуучин загвар нууцлалгүй баталгаажуулалт хэрэгтэй байсан тул AH ашигласан бол тэр хувилбар нь шууд орчуулга бөгөөд тэмдэглэл хавсаргасан шифрлэгдсэн туннель биш юм.

Саналд ESP харах нь ч шифрлэлтийн баталгаа биш. Шифрлэлтийн алгоритмыг уншаарай: NULL бичлэг нь зөвхөн бүрэн бүтэн байдал, хосолсон горимын бичлэг нь хоёуланг нь илэрхийлнэ.

Гурван асуултаар шийд

Нууцлал шаардлагатай юу, замд орчуулагч байгаа юу, ямар толгойн талбаруудыг баталгаажуулах ёстой гэж асуу. Эдгээр гурван хариулт нь нэг протокол, нэг горимыг зааж, тэдгээрийг бичих нь дараа RFC-г дахин уншихаас бага цаг зарцуулна.

Дараа нь санал болгосныг бус, хүлээн авсныг шалга. ip xfrm state нь суулгасан холбооны протокол, горим, алгоритмыг харуулж, зөрүү байвал юу ч суулгахгүй бөгөөд энэ нь зориулсан хамгаалалтгүйгээр босох туннелээс илүү цэвэр бүтэлгүйтэл юм.

Баталгаажуулалтын бүтэлгүйтэл, сонгогчийн хамрах хүрээ, маршрутын алдааг энэ сонголтоос тусгаар байлга. Тэд өөр өөр шинж тэмдэг өгдөг бөгөөд сонгогчийн асуудалд протоколыг буруутгах нь шалтгаангүйгээр hash сольж нэг өдөр өнгөрөөх найдвартай арга юм.