Transport- of tunnelmodus: beslis op basis van het pakket, niet het diagram

Leerboekdiagrammen koppelen transportmodus aan twee hosts en tunnelmodus aan twee gateways, en die vuistregel houdt stand tot de eerste implementatie die hem doorbreekt. De modus beschrijft wat het ESP-pakket inpakt, niet wie de partijen zijn. Een gateway kan verkeer in transportmodus beschermen, en een paar hosts kan tunnelmodus gebruiken als het dat kiest. Drie vragen bepalen wat een specifieke implementatie nodig heeft.

De modus is een indeling, geen topologie

In transportmodus komt de ESP-header na de IP-header en voor de payload van de volgende laag, zodat de oorspronkelijke IP-header buiten blijft en zichtbaar is. In tunnelmodus is de beschermde inhoud een volledig IP-pakket, en een nieuwe buitenste header benoemt de twee IPsec-partijen.

Met vertrouwelijkheid gekozen omvat het beschermde gebied in tunnelmodus die binnenste IP-header, waardoor een opname zonder sleutels de echte eindpunten niet kan onthullen. De buitenste header blijft in beide gevallen leesbaar, en dat is precies wat probleemoplossing überhaupt mogelijk maakt.

Vraag één: wat zit er precies in ESP

Kijk naar het pakket dat de toepassing maakt en vraag welke grens het beschermt. Als het antwoord de transportpayload tussen twee al juiste adressen is, past transportmodus zonder een tweede header te verzinnen. Als de beschermde inhoud eigen adressen nodig heeft, omdat de echte eindpunten verschillen van de partijen die het verkeer dragen, doet tunnelmodus het werk. Beide gevallen bestaan in dezelfde organisatie, en daarom dekt één beleidsuitspraak zelden alles.

Die vraag is te beantwoorden met een opname en een routingtabel. Die is niet te beantwoorden met een tekening die de vakken cliënt en server noemt. Een opname bij een van de partijen laat binnen seconden zien welke van de twee je bekijkt.

Vraag twee: zit er al een tunnel in

L2TP is het historische tegenvoorbeeld dat het punt maakt. De dienst vervoert PPP in een L2TP-sessie, en IPsec beschermt die uitwisseling; de opstelling schrijft transportmodus voor, met tunnelmodus toegestaan als optie. Het zichtbare resultaat is een tunnel op dienstniveau waarvan de buitenste bescherming transportmodus gebruikt.

Het woord tunnel in een productbeschrijving zegt dus niets over de modus van de laag eronder. Noteer welke vraag dat besliste, want de volgende beoordelaar vraagt hetzelfde. Lees de specificatie van die combinatie in plaats van te redeneren vanuit de naam, want die gewoonte voorkomt de meeste discussies over wat een product moet ondersteunen.

Vraag drie: wat vereist de partij

Twee partijen moeten het eens worden, en een voorstel dat de ene modus biedt terwijl de andere de tweede eist, mislukt tijdens de onderhandeling in plaats van stilletjes te verslechteren. Vraag de eigenaar van het verre uiteinde welke modus het beleid noemt, en controleer het voorstel in plaats van de documentatiesamenvatting.

Gemengde omgevingen zijn gebruikelijk: één gateway beëindigt transportmodussessies voor een ouder product en tunnelmodussessies voor een siteverbinding. De modus is per associatie, niet per apparaat. Vraag om de associatielijst in plaats van de functienaam, want de naam reist sneller dan de configuratie.

De bestaande associatie lezen

Voor een beoordeling, som de partijen, de modus, de selectors en het protocol van de volgende laag op, en voeg dan elke inkapseling toe die om het resultaat heen is gewikkeld. Adresvertaling voegt zijn eigen buitenste beeld toe en is geen modus; een vertaalde stroom kan nog steeds een van de twee zijn. De lijst is het enige artefact dat de associatie toont zoals geïnstalleerd en niet zoals bedoeld.

Sluit af met de vraag over routing en autorisatie, want een correcte pakketindeling zegt niets over welke subnetten zijn toegestaan of of het retourpad bestaat. Die leven in het beleid en in de routingtabel, en geen van beide verandert het argument over de modus.