Transport- eller tunnelmodus: avgjer etter pakken, ikkje diagrammet
Transport og tunnel skildrar kva som ligg inne i ESP, ikkje om ein vert eller ein gateway er involvert. Tre spørsmål avgjer kva modus ei utrulling treng.
Lærebokdiagram parar transportmodus med to vertar og tunnelmodus med to gatewayar, og den tommelfingerregelen held heilt til den første utrullinga som bryt han. Modusen skildrar kva ESP-pakken pakkar inn, ikkje kven partane er. Ein gateway kan verne trafikk i transportmodus, og eit par vertar kan bruke tunnelmodus om dei vel det. Tre spørsmål avgjer kva ei bestemt utrulling treng.
Modusen er eit oppsett, ikkje ein topologi
I transportmodus kjem ESP-headeren etter IP-headeren og før nyttelasten i neste lag, slik at den opphavlege IP-headeren blir utanfor og synleg. I tunnelmodus er det verna innhaldet ein fullstendig IP-pakke, og ein ny ytre header namngjev dei to IPsec-partane.
| Mode | What follows the outer IP header | Headers a capture shows |
|---|---|---|
| Transport | ESP, then the next-layer payload | One IP header |
| Tunnel | ESP, then a whole inner IP packet | Outer and inner headers |
Når konfidensialitet er vald, omfattar det verna området i tunnelmodus den indre IP-headeren, og difor kan eit opptak ikkje fortelje deg dei ekte endepunkta utan nøklar. Den ytre headeren blir lesbar i begge tilfelle, og det er nettopp det som gjer feilsøking mogleg i det heile.
Spørsmål éin: kva ligg nøyaktig inne i ESP
Sjå på pakken applikasjonen lagar, og spør kva grense som vernar han. Om svaret er transportnyttelasten mellom to adresser som allereie er rette, passar transportmodus utan å finne opp ein ekstra header. Om det verna innhaldet treng eigne adresser, fordi dei ekte endepunkta skil seg frå partane som ber trafikken, gjer tunnelmodus jobben. Begge tilfella finst i same organisasjon, og difor dekkjer éi politisk utsegn sjeldan alt.
Det spørsmålet kan svarast ut frå eit opptak og ein rutetabell. Det kan ikkje svarast ut frå ei teikning som kallar boksane klient og tenar. Eit opptak teke hos ein av partane viser innan sekund kven av dei to du ser på.
Spørsmål to: er det allereie ein tunnel inni
L2TP er det historiske motdømet som viser poenget. Tenesta ber PPP inne i ei L2TP-økt, og IPsec vernar den utvekslinga; oppsettet fastset transportmodus, med tunnelmodus tillaten som val. Det synlege resultatet er ein tunnel på tenestenivå der den ytre vernet brukar transportmodus.
Så ordet tunnel i ein produktomtale seier ingenting om modusen til laget under. Noter kva spørsmål som avgjorde det, for den neste gjennomgangen vil spørje om det same. Les spesifikasjonen for den kombinasjonen i staden for å resonnere frå namnet, for den vanen hindrar dei fleste diskusjonar om kva eit produkt må støtte.
Spørsmål tre: kva krev parten
To partar må bli einige, og eit forslag som tilbyr éin modus medan den andre krev den andre, feilar under forhandlinga i staden for å degradere stille. Spør eigaren av den fjerne enden kva modus policyen namngjev, og kontroller forslaget i staden for dokumentasjonssamandraget.
Blanda miljø er vanlege: éin gateway avsluttar transportmodusøkter for eit eldre produkt og tunnelmodusøkter for ei stadstilknyting. Modusen er per assosiasjon, ikkje per eining. Be om assosiasjonslista i staden for funksjonsnamnet, for namnet reiser raskare enn konfigurasjonen.
Å lese assosiasjonen som finst
For ein gjennomgang, list opp partane, modusen, selektorane og protokollen i neste lag, og legg deretter til kvar innkapsling som er vikla rundt resultatet. Adresseomsetjing legg til sitt eige ytre bilete og er ikkje ein modus; ein omsett straum kan framleis vere ein av dei to. Lista er det einaste artefaktet som viser assosiasjonen som installert og ikkje som tenkt.
Avslutt med spørsmålet om ruting og autorisasjon, for eit korrekt pakkeoppsett fortel deg ingenting om kva subnett som er tillatne eller om returvegen finst. Dei lever i policyen og i rutetabellen, og ingen av dei endrar argumentet om modus.