Label de modus voordat je twee VPN-pakketdiagrammen vergelijkt

Twee diagrammen kunnen allebei juist zijn en er toch anders uitzien, omdat ze verschillende pakketten kunnen beschrijven. Een onderhandelingsbericht en een applicatiedatapakket delen niet dezelfde indeling, zelfs niet binnen één sessie, en transportmodus en tunnelmodus ook niet. Tekeningen vergelijken zonder te zeggen welk pakket en welke modus elk voorstelt, levert een discussie op over headers die nooit hadden moeten overeenkomen. Vier labels beslissen dat voordat de vergelijking begint.

Schrijf de implementatie en modus, het kanaal, het buitenste transport en de vervoerde lading naast elke tekening.

Transportmodus en tunnelmodus verplaatsen de header anders

In transportmodus zit ESP na de IP-header en voor het vervoerde protocol, zodat de oorspronkelijke IP-header buiten de bescherming blijft. In tunnelmodus adresseert een nieuwe buitenste IP-header de twee IPsec-peers, en het beschermde binnenste pakket behoudt zijn eigen IP-header. Beide zijn gedefinieerd in RFC 4303 en beide zijn correct voor hun modus. Een vereenvoudigde schets die de trailer en de integriteitsvelden weglaat, is prima voor plaatsing en nutteloos voor het tellen van bytes.

Transport betekent niet specifiek TCP of UDP. Het vervoerde protocol van de volgende laag kan van alles zijn, en een diagram dat transportmodus gelijkstelt aan één protocol heeft stilzwijgend een aanname toegevoegd.

Controleberichten zijn geen databerichten

L2TP houdt twee soorten berichten gescheiden: databerichten die PPP-frames dragen, en controleberichten die de tunnel en zijn oproepen opzetten, onderhouden en afbreken. Het controlekanaal is betrouwbaar, terwijl verloren databerichten eenvoudigweg niet opnieuw door L2TP worden verzonden. Een tekening met PPP kan daarom de lading beschrijven die een databericht draagt, niet een header die elke beschermde sessie moet bevatten. L2TP combineren met bescherming voegt de gekozen beveiligingsregeling erbovenop toe en maakt niet elk bericht identiek.

Als een diagram beweert dat beide soorten berichten er hetzelfde uitzien, beschrijft het een ander protocol of een andere scope.

Vergelijk gelijkwaardige afvangpunten

Een afvang op de buitenste interface toont de beschermings- en transportheaders; een binnenafvang, genomen na decapsulatie, toont het vervoerde pakket. Geen van beide is fout, en het ene met het andere vergelijken laat headers ontbreken of dubbel lijken. UDP-inkapseling, zoals gedefinieerd voor NAT-traversal, voegt nog een buitenste laag toe die een tekening van native ESP niet heeft. Beide tekeningen kunnen geldige beschrijvingen van verschillende transportregelingen zijn.

Noem het afvangpunt bij het diagram, en vergelijk gelijkwaardige berichten in gelijkwaardige modi. Een ontbrekende header is alleen bewijs van een fout wanneer beide tekeningen hetzelfde punt en hetzelfde pakkettype claimen.

Houd de labels bij de tekening

Een diagram zonder labels veroudert slecht, omdat de volgende lezer zijn eigen aannames invult. Voeg de vier labels toe, markeer de beschermingsgrens, en noteer of de tekening voor plaatsing of voor dimensionering is. Als die voor dimensionering is, gebruik de volledige specificatie in plaats van een schets. De kosten van de labels zijn een minuut; de kosten van de discussie die ze voorkomen zijn een middag.

Wanneer twee documenten het oneens zijn, vergelijk dan eerst hun labels. Een verschil op modus- of kanaalniveau verklaart het verschil volledig, en er ontbreekt eigenlijk geen header.

Noteer welk pakket, welke modus en welk afvangpunt de tekening toont. Die notitie is de andere helft van het diagram.