IPsec хоёр хост хооронд: хамгаалалт хаана эхэлж, хаана дуусдаг
Хост хос сонгосон урсгалыг гарцгүйгээр хамгаалж чадна. Төгсгөлийн цэгүүд, трафикийг сонгодог бодлого болон тусдаа үлдэх зөвшөөрлүүдийг тодорхойлно уу.
Хост хос дээрх хамгаалалт нь аюулгүй байдлын холбоо дуусах газраас эхэлдэг бөгөөд гарцын хэлбэрийн зөн совин хамгийн их алгасдаг баримт нь яг энэ юм. Аппликейшн сервер болон түүний мэдээллийн сангийн сервер нь өөрсдийн яриаг шууд хамгаалж чадна, замд алсын хандалтын ямар ч төвлөрүүлэгч байхгүй ч, хамгаалалтын хил нь галт ханын дотор биш, харин хост бүрийн дотор байрлана. Энэ нь танд сонгосон урсгалуудад эхнээс төгсгөл хүртэлх хамрах хүрээг өгдөг. Өгөхгүй зүйл нь хэн аль мөрийг уншиж болох тухай шийдвэр юм.
Хил бол SA дуусах газар
RFC 4301 нь тээврийн горим дахь аюулгүй байдлын холбоог хост хосын хооронд эхнээс төгсгөл хүртэл хамгаалахад ихэвчлэн ашиглагддаг зохион байгуулалт гэж тодорхойлдог. Тэр хоёр хост түлхүүрүүдийг барьдаг бөгөөд тус бүр өөрийн пакетуудын аль нь холбоонд орохыг шийддэг. Гарцын туннель огт өөр газар дуусч, хост руу нэмэлт дотоод сегментээр хүрдэг бөгөөд энэ нь пакет аяллын ихэнх хэсэгт шифрлэгдсэн байсан ч өөр итгэлийн хил юм.
Хостоос хост болон тээврийн горим нь ижил утгатай үг биш юм. Хоёр хост хоорондоо туннелийн горим дахь холбоог мөн адил зөв барьж болно, тиймээс эхлээд горимыг сонгоод дараа нь төгсгөлийн цэгүүдийг тайлбарлана уу. Хоёуланг нь дизайны тэмдэглэлд түншийн хаягийн дэргэд бичээрэй, учир нь зөвхөн горимыг мэддэг шүүмжлэгч нөгөөг нь таамаглах болно.
SPD нь хамгаалалтыг, маршрут нь чиглэлийг шийддэг
Маршрутын хүснэгт нь пакет хаашаа явахыг хариулдаг. Аюулгүй байдлын бодлогын мэдээллийн сан нь сонгосон трафик хамгаалалтын хилийг хэрхэн давахыг хариулж, үүнийг чиглэл бүрд өөрийн сонгогчтойгоор хийдэг. Энэ хуваагдал нь мэдээллийн сан руу чиглэсэн ажиллаж буй маршрут хүсэлт хамгаалагдсан эсэхийг юу ч нотолдоггүйн шалтгаан бөгөөд байгуулагдсан хэлэлцээр юу ч нотолдоггүйн шалтгаан мөн, энэ тодорхой аппликейшн түүнтэй тохирсон эсэх талаар ч мөн адил. Тоолуурыг харьцуулахын өмнө сонгогчдыг харьцуулаарай, учир нь тоолуур нь зөвхөн тэр хүртэл хүрсэн урсгалыг л дүрсэлдэг.
Linux дээр ip xfrm policy тэдгээр бичлэгийг чиглэл, тэргүүлэх чиглэл, сонгогч болон зөвшөөрөх, блоклох эсвэл урхидах үйлдлийн хамт хэвлэдэг бол ip xfrm state үүссэн холбоо болон тэдгээрийн тоолуурыг харуулдаг. Хоёуланг хамт унших нь илүү өргөн зөвшөөрлийн бичлэг эхэлж тохирсон учир туннелийг чимээгүй тойрсон урсгалыг олох арга юм.
Тэргүүлэх чиглэлийн дараалал нь бодлогын нэг хэсэг, хэрэгжүүлэлтийн дэлгэрэнгүй мэдээлэл биш. Мэдээллийн сангийн портыг хамгаалах ёстой нарийн бичлэг илүү өндөр тэргүүлэх чиглэлтэй өргөн бичлэгт хожигддог бөгөөд доголдол нь бодлогыг хэзээ ч асуугаагүй юм шиг харагддаг.
Тээврийн горим нь IP толгойг биш, дараагийн давхаргыг хамардаг
| Transport mode | Tunnel mode | |
|---|---|---|
| Original IP header | kept for routing the flow | replaced by an outer header |
| What ESP protects | the carried next-layer payload | the whole inner IP packet |
| Where it terminates | commonly the two hosts | gateway pair, or a host pair |
Тээврийн горимд ESP толгой нь IP толгой болон ачааллын хооронд байрлаж, тэр толгойн хаягийн талбарууд замд байгаа бүх төхөөрөмжид харагдах хэвээр үлддэг. Хаягууд нууц биш, ачаалал нь нууц бол энэ нь зөв. Дотоод топологийг ч нуух шаардлагатай бол энэ нь буруу сонголт, учир нь анхны толгойг зөвхөн туннелийн горим шинэ толгой дотор ороодог.
Хоёр горим хоёулаа дараагийн давхаргын хэд хэдэн протоколыг зөөж чадна, ESP нь хост илгээсэн бүхнийг биш, сонгогчид тохирохыг хамгаална.
Сонголт холболтоос нарийн
Нэг холбоо хэд хэдэн урсгалыг зөөж чадна, гэхдээ бодлого сонгосон урсгалуудыг л. Түншүүдийн таних мэдээлэл, эх болон очих хаяг, протокол болон төлөвлөж буй харилцааны үйлчилгээний хүрээг тэмдэглээд, дараа нь тохирохгүй трафик нээлттэй гарч болох эсэх, хамгаалагдах ёстой эсэх, эсвэл холбоо боломжгүй үед хаягдах ёстой эсэхийг тусад нь шийдээрэй. Яг сүүлчийн шийдвэр нь гайхшрал төрүүлдэг, учир нь буруу эх сурвалжид хамгаалалт шаардсан дүрэм таны өөрийн удирдлагын хандалтыг халдлагчийг хаасантай адил үр дүнтэй хааж чадна.
Хэрэгжүүлэлтийг өөрчилж байхдаа батлагдсан зурвасаас гадуурх замыг баримтлаарай, мөн хоёр хост хоёулаа хүрэх боломжгүй болсны дараа биш, хэрэгтэй болохоос өмнө туршаарай.
Машины таних тэмдэг нь аппликейшны зөвшөөрөл биш
IPsec нь тохируулсан түншийг баталгаажуулж, сонгосон пакетуудыг хамгаалдаг. Энэ нь хүн аль мэдээллийн сангийн бичлэгийг засварлаж болохыг шийддэггүй бөгөөд итгэмжлэгдсэн серверийн таних тэмдгийг бүх аппликейшны давуу эрх олгох болгон хувиргадаггүй. Аппликейшны бүртгэл, дүрэм, зөвшөөрөл нь яг байсан газраа үлддэг бөгөөд аппликейшны түвшний TLS шаардлага сүлжээний зам аль хэдийн хамгаалагдсан ч өөрийн зорилгыг хадгалдаг.
Дизайныг зорьсон эх сурвалжаас нэг үйлдэл болон татгалзах ёстой нэг үйлдлээр хүлээн авч, шаардлагатай холбоо байгуулагдаж чадахгүй үед юу болохыг оруулаарай. Энгийн хүртээмжийн шалгалт танд пакетууд хөдөлж байгааг хэлдэг; тэд таны бичсэн бодлогын дор хөдөлсөн гэдгийг хэлдэггүй.