IPsec bejn żewġ hosts: fejn tibda u fejn tispiċċa l-protezzjoni
Par ta’ hosts jista’ jipproteġi flussi magħżula mingħajr gateway. Iddefinixxi l-punti tat-tmiem, il-politika li tagħżel it-traffiku u l-permessi li jibqgħu separati.
Il-protezzjoni fuq par ta’ hosts tibda fejn tintemm l-assoċjazzjoni tas-sigurtà, u dan huwa l-fatt li l-intuwizzjoni mfassla mill-gateways ħafna drabi jitlef. Server tal-applikazzjoni u s-server tad-database tiegħu jistgħu jipproteġu l-konversazzjoni tagħhom stess direttament, mingħajr ebda konċentratur tal-aċċess mill-bogħod fil-mogħdija, u l-limitu tal-protezzjoni mbagħad ikun ġewwa kull host minflok fi firewall. Dak li dan jagħtik hija kopertura minn tarf għal tarf għal flussi magħżula. Dak li ma jagħtikx hija deċiżjoni dwar min jista’ jaqra liema ringiela.
Il-limitu huwa fejn tintemm l-SA
RFC 4301 jiddeskrivi l-assoċjazzjonijiet tas-sigurtà fil-modalità tat-trasport bħala l-arranġament li normalment jintuża bejn par ta’ hosts għall-protezzjoni minn tarf għal tarf. Dawk iż-żewġ hosts iżommu ċ-ċwievet, u kull wieħed jiddeċiedi liema mill-pakkeċċi tiegħu stess jidħlu fl-assoċjazzjoni. Tunnel tal-gateway jintemm x’imkien ieħor għal kollox u jasal għall-host permezz ta’ segment intern addizzjonali, li huwa limitu ta’ fiduċja differenti anki meta l-pakkett ikun encrypted għall-biċċa l-kbira tal-vjaġġ tiegħu.
Host għal host u l-modalità tat-trasport mhumiex sinonimi, madankollu. Żewġ hosts jistgħu bl-istess mod korrett jibnu assoċjazzjoni fil-modalità tunnel bejniethom, allura agħżel l-ewwel il-modalità u mbagħad iddeskrivi l-punti tat-tmiem. Ikteb it-tnejn fin-nota tad-disinn ħdejn l-indirizzi tal-peers, għax reviżur li jaf biss il-modalità se jassumi l-oħra.
L-SPD tiddeċiedi l-protezzjoni, ir-rotta tiddeċiedi d-direzzjoni
Tabella tal-irouting twieġeb fejn tmur pakkett. Il-bażi tad-data tal-politika tas-sigurtà twieġeb kif it-traffiku magħżul jaqsam il-limitu tal-protezzjoni, u tagħmel dan għal kull direzzjoni bis-seletturi tagħha stess. Dan il-qsim huwa r-raġuni għaliex rotta li taħdem lejn id-database ma tipprovax xejn dwar jekk it-talba kinitx protetta, u għaliex negozjat stabbilit ma jipprovax xejn dwar jekk din l-applikazzjoni partikolari qabblitux. Qabbel is-seletturi qabel ma tqabbel il-counters, għax il-counters jiddeskrivu biss il-flussi li waslu hekk ’il bogħod.
Fuq Linux, ip xfrm policy jistampa dawk l-entrati bid-direzzjoni, prijorità, selettur u azzjoni tagħhom ta’ permess, blokk jew nassa, filwaqt li ip xfrm state juri l-assoċjazzjonijiet li jirriżultaw u l-counters tagħhom. Li taqra t-tnejn flimkien huwa l-mod kif issib il-fluss li bil-kwiet qabeż it-tunnel għax entrata ta’ permess aktar wiesgħa qabbdet l-ewwel.
L-ordni ta’ prijorità hija parti mill-politika, mhix dettall tal-implimentazzjoni. Entrata dejqa li suppost tipproteġi l-port tad-database titlef ma’ entrata aktar wiesgħa b’prijorità ogħla, u l-falliment jidher qisu l-politika qatt ma ġiet ikkonsultata.
Il-modalità tat-trasport tkopri s-saff li jmiss, mhux l-intestatura IP
| Transport mode | Tunnel mode | |
|---|---|---|
| Original IP header | kept for routing the flow | replaced by an outer header |
| What ESP protects | the carried next-layer payload | the whole inner IP packet |
| Where it terminates | commonly the two hosts | gateway pair, or a host pair |
Fil-modalità tat-trasport l-intestatura ESP tinsab bejn l-intestatura IP u l-payload, u l-oqsma tal-indirizzi ta’ dik l-intestatura jibqgħu jidhru għal kull apparat fil-mogħdija. Dan huwa tajjeb meta l-indirizzi mhumiex is-sigriet u l-payload huwa. Hija l-għażla ħażina jekk għandek bżonn taħbi wkoll it-topoloġija interna, għax il-modalità tunnel biss tgeżwer l-intestatura oriġinali f’waħda ġdida.
Iż-żewġ modalitajiet jistgħu jġorru diversi protokolli tas-saff li jmiss, u ESP jipproteġi dak li jaqbel mas-selettur minflok kollox li jibgħat il-host.
L-għażla hija idjaq mill-konnessjoni
Assoċjazzjoni waħda tista’ ġġorr diversi flussi, iżda biss dawk li tagħżel il-politika. Irreġistra l-identitajiet tal-peers, l-indirizzi tas-sors u tad-destinazzjoni, il-protokoll u l-ambitu tas-servizz għar-relazzjoni li biħsiebek, imbagħad iddeċiedi b’mod separat jekk it-traffiku li ma jaqbilx jistax imur fil-miftuħ, għandux ikun protett, jew għandux jintrema meta l-assoċjazzjoni ma tkunx disponibbli. Dik id-deċiżjoni tal-aħħar hija dik li tagħmel sorpriżi, għax regola li titlob protezzjoni għas-sors ħażin tista’ timblokka l-aċċess tal-ġestjoni tiegħek stess bl-istess effikaċja li timblokka intruż.
Żomm mogħdija barra l-banda approvata waqt li qed tibdel l-infurzar, u ttestsjarha qabel ma tkun teħtieġha minflok wara li ż-żewġ hosts isiru ma jintlaħqux.
L-identità tal-magna mhix permess tal-applikazzjoni
IPsec jawtentika peer konfigurat u jipproteġi pakkeċċi magħżula. Ma jiddeċiedix liema rekord tad-database persuna tista’ teditja, u ma jbiddilx identità ta’ server affidabbli fi għoti ta’ kull privileġġ tal-applikazzjoni. Il-kontijiet, ir-rwoli u l-awtorizzazzjoni tal-applikazzjoni jibqgħu eżatt fejn kienu, u rekwiżit TLS fil-livell tal-applikazzjoni jżomm il-għan tiegħu stess anki meta l-mogħdija tan-netwerk diġà hija protetta.
Aċċetta d-disinn b’operazzjoni waħda mis-sors maħsub u waħda li trid tiġi rifiutata, u inkludi x’jiġri meta l-assoċjazzjoni meħtieġa ma tistax tiġi stabbilita. Test ordinarju tal-aċċessibilità jgħidlek li l-pakkeċċi jiċċaqilqu; ma jgħidlekx li ċċaqalqu taħt il-politika li ktibt.