दुई होस्टबीच IPsec: सुरक्षा कहाँ सुरु हुन्छ र कहाँ रोकिन्छ
होस्टको जोडीले गेटवे बिना छानिएका प्रवाहको रक्षा गर्न सक्छ। अन्तिम बिन्दु, ट्राफिक छान्ने नीति र अलग रहने अनुमतिहरू परिभाषित गर्नुहोस्।
होस्टको जोडीमा सुरक्षा त्यहाँ सुरु हुन्छ जहाँ सुरक्षा सहयोग अन्त्य हुन्छ, र यही त्यो तथ्य हो जुन गेटवेको आकारको अन्तर्ज्ञानले सबैभन्दा बढी छुटाउँछ। एउटा अनुप्रयोग सर्भर र त्यसको डाटाबेस सर्भरले आफ्नै कुराकानी सिधै सुरक्षित गर्न सक्छन्, बाटोमा कुनै पनि टाढाको पहुँच केन्द्रक बिना, र सुरक्षाको सीमा त्यसपछि फायरवालमा नभई हरेक होस्टभित्र हुन्छ। यसले तपाईंलाई छानिएका प्रवाहका लागि सुरुदेखि अन्त्यसम्म कभरेज दिन्छ। यसले तपाईंलाई कुन व्यक्तिले कुन पङ्क्ति पढ्न सक्छ भन्ने निर्णय दिँदैन।
सीमा त्यहीँ हो जहाँ SA अन्त्य हुन्छ
RFC 4301 ले ट्रान्सपोर्ट मोडका सुरक्षा सहयोगहरूलाई त्यो व्यवस्थाका रूपमा वर्णन गर्छ जुन सामान्यतया होस्टको जोडीबीच सुरुदेखि अन्त्यसम्म सुरक्षाका लागि प्रयोग गरिन्छ। ती दुई होस्टले साँचोहरू राख्छन्, र हरेकले आफ्ना कुन प्याकेट सहयोगमा प्रवेश गर्ने भनी निर्णय गर्छ। गेटवे सुरुङ पूर्ण रूपमा अन्तै अन्त्य हुन्छ र अतिरिक्त आन्तरिक खण्डबाट होस्टसम्म पुग्छ, जुन फरक विश्वास सीमा हो, तब पनि जब प्याकेट आफ्नो यात्राको अधिकांश भागमा इन्क्रिप्ट गरिएको हुन्छ।
होस्ट-देखि-होस्ट र ट्रान्सपोर्ट मोड तथापि समानार्थी होइनन्। दुई होस्टले आपसमा त्यसै गरी सही रूपमा सुरुङ मोडको सहयोग बनाउन सक्छन्, त्यसैले पहिले मोड छान्नुहोस् र त्यसपछि अन्तिम बिन्दुको वर्णन गर्नुहोस्। दुवैलाई डिजाइन टिप्पणीमा साथी ठेगानाको छेउमा लेख्नुहोस्, किनकि केवल मोड जान्ने समीक्षकले अर्को मान्नेछ।
SPD ले सुरक्षाको र बाटोले दिशाको निर्णय गर्छ
रुटिङ तालिकाले प्याकेट कहाँ जान्छ भन्ने बताउँछ। सुरक्षा नीतिको डाटाबेसले छानिएको ट्राफिकले सुरक्षा सीमा कसरी पार गर्छ भन्ने बताउँछ, र यो हरेक दिशाका लागि आफ्नै छनोटकर्तासहित गर्छ। यही विभाजन कारण हो कि डाटाबेससम्म काम गर्ने बाटोले अनुरोध सुरक्षित थियो कि थिएन भन्नेमा केही पनि प्रमाणित गर्दैन, र यो कि स्थापित वार्ता केही पनि प्रमाणित गर्दैन कि यो विशिष्ट अनुप्रयोग त्यससँग मिल्यो कि मिलेन। गणकको तुलना गर्नु अघि छनोटकर्ताको तुलना गर्नुहोस्, किनकि गणकले त्यहाँसम्म पुगेका प्रवाहको मात्र वर्णन गर्छन्।
Linux मा, ip xfrm policy ले ती प्रविष्टिहरू तिनको दिशा, प्राथमिकता, छनोटकर्ता र अनुमति, अवरोध वा जालको क्रियासहित छाप्छ, जबकि ip xfrm state ले परिणामी सहयोग र तिनका गणक देखाउँछ। दुवैलाई सँगै पढ्नु नै त्यो उपाय हो जसले तपाईंले त्यो प्रवाह भेट्नुहुन्छ जसले सुरुङलाई चुपचाप छल्यो किनकि एउटा फराकिलो अनुमति प्रविष्टि पहिले मिल्यो।
प्राथमिकता क्रम नीतिको भाग हो, कार्यान्वयनको विवरण होइन। डाटाबेस पोर्टको रक्षा गर्नुपर्ने साँघुरो प्रविष्टि उच्च प्राथमिकताको फराकिलो प्रविष्टिसँग हार्छ, र असफलता यस्तो देखिन्छ जस्तै नीतिलाई कहिल्यै सोधिएन।
ट्रान्सपोर्ट मोडले अर्को तह ढाक्छ, IP शीर्षक होइन
| Transport mode | Tunnel mode | |
|---|---|---|
| Original IP header | kept for routing the flow | replaced by an outer header |
| What ESP protects | the carried next-layer payload | the whole inner IP packet |
| Where it terminates | commonly the two hosts | gateway pair, or a host pair |
ट्रान्सपोर्ट मोडमा ESP शीर्षक IP शीर्षक र पेलोडबीच बस्छ, र त्यो शीर्षकका ठेगाना क्षेत्र बाटोका हरेक उपकरणलाई देखिने रहन्छन्। ठेगाना रहस्य नभए र पेलोड रहस्य भए यो ठीक हुन्छ। तपाईंले आन्तरिक टोपोलोजी पनि लुकाउनुपर्ने भए यो गलत छनोट हो, किनकि केवल सुरुङ मोडले मात्र मूल शीर्षकलाई नयाँभित्र बेर्छ।
दुवै मोडले अर्को तहका धेरै प्रोटोकल बोक्न सक्छन्, र ESP ले छनोटकर्तासँग मिल्ने कुरा सुरक्षित गर्छ, होस्टले पठाउने सबै होइन।
छनोट जडानभन्दा साँघुरो छ
एउटा सहयोगले धेरै प्रवाह बोक्न सक्छ, तर नीतिले छान्ने मात्र। साथीको पहिचान, स्रोत र गन्तव्य ठेगाना, प्रोटोकल र तपाईंले चाहेको सम्बन्धको सेवा दायरा अभिलेख गर्नुहोस्, त्यसपछि अलगै निर्णय गर्नुहोस् कि नमिल्ने ट्राफिक खुला रूपमा जान सक्छ, त्यसको सुरक्षा हुनैपर्छ, वा सहयोग उपलब्ध नहुँदा त्यसलाई खसाल्नैपर्छ। यही अन्तिम निर्णयले आश्चर्य उत्पन्न गर्छ, किनकि गलत स्रोतका लागि सुरक्षा माग्ने नियमले तपाईंको आफ्नै प्रशासनिक पहुँचलाई त्यसै गरी रोक्न सक्छ जसरी त्यसले घुसपैठीलाई रोक्छ।
प्रवर्तन बदल्दै गर्दा स्वीकृत बाहिर-पट्टी बाटो राख्नुहोस्, र दुवै होस्ट अगम्य हुनुअघि नै त्यसको परीक्षण गर्नुहोस्, पछि होइन।
मेसिनको पहिचान अनुप्रयोगको अनुमति होइन
IPsec ले कन्फिगर गरिएको साथीको प्रमाणीकरण गर्छ र छानिएका प्याकेट सुरक्षित गर्छ। यसले कुन डाटाबेस रेकर्ड व्यक्तिले सम्पादन गर्न सक्छ भन्ने निर्णय गर्दैन, र विश्वसनीय सर्भर पहिचानलाई हरेक अनुप्रयोग विशेषाधिकारको दानमा बदल्दैन। अनुप्रयोग खाता, भूमिका र अधिकार जहाँ थिए त्यहीँ रहन्छन्, र अनुप्रयोग स्तरको TLS आवश्यकताले सञ्जालको बाटो पहिले नै सुरक्षित भए पनि आफ्नो उद्देश्य कायम राख्छ।
डिजाइनलाई इच्छित स्रोतबाट एउटा कार्य र अस्वीकार गर्नुपर्ने एउटा कार्यसँग स्वीकार गर्नुहोस्, र आवश्यक सहयोग स्थापित गर्न नसकिँदा के हुन्छ त्यो पनि समावेश गर्नुहोस्। साधारण पहुँच परीक्षणले तपाईंलाई प्याकेट चलिरहेका छन् भन्छ; ती तपाईंले लेखेको नीतिअन्तर्गत चले भन्ने बताउँदैन।