Mod pengangkutan atau terowong: putuskan melalui paket, bukan rajah
Pengangkutan dan terowong menerangkan apa yang ada di dalam ESP, bukan sama ada hos atau get laluan terlibat. Tiga soalan menentukan mod yang diperlukan oleh sesuatu penggunaan.
Rajah buku teks memasangkan mod pengangkutan dengan dua hos dan mod terowong dengan dua get laluan, dan petua itu bertahan sehingga penggunaan pertama yang memecahkannya. Mod menerangkan apa yang dibalut oleh paket ESP, bukan siapa pihaknya. Get laluan boleh melindungi trafik dalam mod pengangkutan, dan sepasang hos boleh menggunakan mod terowong jika memilihnya. Tiga soalan menentukan apa yang diperlukan oleh penggunaan tertentu.
Mod ialah susun atur, bukan topologi
Dalam mod pengangkutan, pengepala ESP datang selepas pengepala IP dan sebelum muatan lapisan seterusnya, jadi pengepala IP asal kekal di luar dan kelihatan. Dalam mod terowong, kandungan yang dilindungi ialah paket IP lengkap, dan pengepala luar baharu menamakan kedua-dua rakan IPsec.
| Mode | What follows the outer IP header | Headers a capture shows |
|---|---|---|
| Transport | ESP, then the next-layer payload | One IP header |
| Tunnel | ESP, then a whole inner IP packet | Outer and inner headers |
Apabila kerahsiaan dipilih, kawasan yang dilindungi dalam mod terowong merangkumi pengepala IP dalaman itu, sebab itu tangkapan tidak boleh memberitahu titik akhir sebenar tanpa kunci. Pengepala luar kekal boleh dibaca dalam kedua-dua kes, dan itulah yang menjadikan penyelesaian masalah mungkin sama sekali.
Soalan satu: apa sebenarnya di dalam ESP
Lihat paket yang dihasilkan aplikasi dan tanya sempadan mana yang melindunginya. Jika jawapannya ialah muatan pengangkutan antara dua alamat yang sudah betul, mod pengangkutan sesuai tanpa mencipta pengepala kedua. Jika kandungan yang dilindungi memerlukan alamat sendiri, kerana titik akhir sebenar berbeza daripada rakan yang membawa trafik, mod terowong melakukan kerja itu. Kedua-dua kes wujud dalam organisasi yang sama, sebab itu satu penyataan dasar jarang meliputi semuanya.
Soalan itu boleh dijawab daripada tangkapan dan jadual penghalaan. Soalan itu tidak boleh dijawab daripada lukisan yang melabel kotak sebagai klien dan pelayan. Tangkapan yang diambil pada mana-mana rakan menunjukkan dalam beberapa detik yang mana satu daripada dua itu yang anda lihat.
Soalan dua: adakah sudah ada terowong di dalamnya
L2TP ialah contoh berlawanan sejarah yang menunjukkan perkara itu. Perkhidmatan membawa PPP di dalam sesi L2TP, dan IPsec melindungi pertukaran itu; susun atur menetapkan mod pengangkutan, dengan mod terowong dibenarkan sebagai pilihan. Hasil yang kelihatan ialah terowong pada peringkat perkhidmatan yang perlindungan luarnya menggunakan mod pengangkutan.
Jadi kehadiran perkataan terowong dalam huraian produk tidak mengatakan apa-apa tentang mod lapisan di bawahnya. Catat soalan mana yang menyelesaikannya, kerana penyemak seterusnya akan bertanya perkara yang sama. Baca spesifikasi gabungan itu dan bukan menaakul daripada namanya, kerana kebiasaan itu menghalang kebanyakan perdebatan tentang apa yang perlu disokong oleh produk.
Soalan tiga: apa yang diperlukan oleh rakan
Dua rakan mesti bersetuju, dan cadangan yang menawarkan satu mod sedangkan pihak lain menuntut yang kedua gagal semasa rundingan dan bukan merosot secara senyap. Tanya pemilik hujung jauh mod mana yang dinamakan dasar, dan periksa cadangan itu dan bukan ringkasan dokumentasi.
Persekitaran bercampur adalah biasa: satu get laluan menamatkan sesi mod pengangkutan untuk produk lama dan sesi mod terowong untuk pautan tapak. Mod adalah bagi setiap persatuan, bukan bagi setiap peranti. Minta senarai persatuan dan bukan nama ciri, kerana nama bergerak lebih pantas daripada konfigurasi.
Membaca persatuan yang ada
Untuk semakan, senaraikan rakan, mod, pemilih dan protokol lapisan seterusnya, kemudian tambah sebarang enkapsulasi yang dililit di sekeliling hasilnya. Terjemahan alamat menambah pandangan luarannya sendiri dan bukan mod; aliran yang diterjemah masih boleh menjadi salah satu daripada kedua-duanya. Senarai itu ialah satu-satunya artifak yang menunjukkan persatuan sebagaimana dipasang dan bukan sebagaimana yang dimaksudkan.
Akhiri dengan soalan penghalaan dan kebenaran, kerana susun atur paket yang betul tidak memberitahu anda subrangkaian mana yang dibenarkan atau sama ada laluan balasan wujud. Semuanya hidup dalam dasar dan dalam jadual laluan, dan tiada satu pun mengubah hujah tentang mod.