IPsec antara dua hos: di mana perlindungan bermula dan berakhir

Perlindungan pada sepasang hos bermula di tempat persatuan keselamatan berakhir, dan itulah hakikat yang paling kerap terlepas pandang oleh gerak hati yang dibentuk oleh get laluan. Pelayan aplikasi dan pelayan pangkalan datanya boleh melindungi perbualan mereka sendiri secara langsung, tanpa sebarang pemusat akses jauh di laluan, dan sempadan perlindungan kemudian terletak di dalam setiap hos dan bukan di dalam tembok api. Apa yang dibeli oleh ini ialah liputan hujung ke hujung untuk aliran terpilih. Apa yang tidak dibeli oleh ini ialah keputusan tentang siapa yang boleh membaca baris yang mana.

Sempadan ialah tempat SA berakhir

RFC 4301 menerangkan persatuan keselamatan mod pengangkutan sebagai susunan yang lazimnya digunakan antara sepasang hos untuk perlindungan hujung ke hujung. Kedua-dua hos itu memegang kuncinya, dan masing-masing memutuskan paket mana daripada miliknya sendiri yang masuk ke dalam persatuan. Sesuatu terowong get laluan berakhir di tempat lain sama sekali dan sampai ke hos melalui segmen dalaman tambahan, yang merupakan sempadan kepercayaan berbeza walaupun paket itu disulitkan untuk sebahagian besar perjalanannya.

Hos-ke-hos dan mod pengangkutan bukanlah sinonim. Dua hos boleh sama benarnya membina persatuan mod terowong antara mereka sendiri, jadi pilih mod itu dahulu dan kemudian huraikan titik akhir. Tulis kedua-duanya dalam nota reka bentuk di sebelah alamat rakan, kerana penyemak yang hanya mengenal mod itu akan menganggap yang satu lagi.

SPD memutuskan perlindungan, laluan memutuskan arah

Jadual penghalaan menjawab ke mana sesuatu paket pergi. Pangkalan data dasar keselamatan menjawab bagaimana trafik terpilih melintasi sempadan perlindungan, dan ia berbuat demikian bagi setiap arah dengan pemilihnya sendiri. Pemisahan itulah sebabnya laluan yang berfungsi ke pangkalan data tidak membuktikan apa-apa tentang sama ada permintaan itu dilindungi, dan sebabnya rundingan yang terbentuk tidak membuktikan apa-apa tentang sama ada aplikasi tertentu ini memadankannya. Bandingkan pemilih sebelum membandingkan pembilang, kerana pembilang hanya menerangkan aliran yang sampai sejauh itu.

Dalam Linux, ip xfrm policy mencetak entri tersebut dengan arah, keutamaan, pemilih dan tindakan benarkan, sekatan atau perangkapnya, manakala ip xfrm state menunjukkan persatuan yang terhasil dan pembilangnya. Membaca kedua-duanya bersama-sama ialah cara menemui aliran yang senyap memintas terowong kerana entri benarkan yang lebih luas dipadankan dahulu.

Susunan keutamaan ialah sebahagian daripada dasar, bukan butiran pelaksanaan. Entri sempit yang sepatutnya melindungi port pangkalan data kalah kepada entri yang lebih luas dengan keutamaan lebih tinggi, dan kegagalan itu kelihatan seolah-olah dasar itu tidak pernah dirujuk.

Mod pengangkutan meliputi lapisan seterusnya, bukan pengepala IP

Dalam mod pengangkutan, pengepala ESP terletak di antara pengepala IP dan muatan, dan medan alamat pengepala itu kekal kelihatan kepada setiap peranti di laluan. Itu tidak mengapa apabila alamat bukan rahsia dan muatan itu rahsia. Itu pilihan yang salah jika anda juga perlu menyembunyikan topologi dalaman, kerana hanya mod terowong membalut pengepala asal di dalam pengepala baharu.

Kedua-dua mod boleh membawa beberapa protokol lapisan seterusnya, dan ESP akan melindungi apa yang dipadankan oleh pemilih dan bukan segala yang dihantar oleh hos.

Pemilihan lebih sempit daripada sambungan

Satu persatuan boleh membawa beberapa aliran, tetapi hanya yang dipilih oleh dasar. Catat identiti rakan, alamat sumber dan destinasi, protokol dan skop perkhidmatan bagi hubungan yang anda maksudkan, kemudian putuskan secara berasingan sama ada trafik yang tidak sepadan boleh pergi secara terbuka, mesti dilindungi, atau mesti digugurkan apabila persatuan itu tidak tersedia. Keputusan terakhir itulah yang menghasilkan kejutan, kerana peraturan yang menuntut perlindungan untuk sumber yang salah boleh menyekat akses pengurusan anda sendiri seberkesan ia menyekat penceroboh.

Kekalkan laluan di luar jalur yang diluluskan semasa anda mengubah penguatkuasaan, dan ujinya sebelum anda memerlukannya dan bukannya selepas kedua-dua hos menjadi tidak dapat dicapai.

Identiti mesin bukan kebenaran aplikasi

IPsec mengesahkan rakan yang dikonfigurasikan dan melindungi paket terpilih. Ia tidak memutuskan rekod pangkalan data mana yang boleh disunting oleh seseorang, dan ia tidak mengubah identiti pelayan yang dipercayai menjadi pemberian semua keistimewaan aplikasi. Akaun, peranan dan kebenaran aplikasi kekal tepat di tempatnya, dan keperluan TLS peringkat aplikasi mengekalkan tujuannya sendiri walaupun laluan rangkaian sudah dilindungi.

Terima reka bentuk itu dengan satu operasi daripada sumber yang dimaksudkan dan satu yang mesti ditolak, dan sertakan apa yang berlaku apabila persatuan yang diperlukan tidak dapat dibentuk. Ujian kebolehcapaian biasa memberitahu anda bahawa paket bergerak; ia tidak memberitahu anda bahawa paket bergerak di bawah dasar yang anda tulis.