Transport- eller tunnelmodus: avgjør etter pakken, ikke diagrammet

Lærebokdiagrammer parrer transportmodus med to verter og tunnelmodus med to gatewayer, og den tommelfingerregelen holder helt til den første utrullingen som bryter den. Modusen beskriver hva ESP-pakken pakker inn, ikke hvem partene er. En gateway kan beskytte trafikk i transportmodus, og et par verter kan bruke tunnelmodus hvis de velger det. Tre spørsmål avgjør hva en bestemt utrulling trenger.

Modusen er et oppsett, ikke en topologi

I transportmodus kommer ESP-headeren etter IP-headeren og før nyttelasten i neste lag, slik at den opprinnelige IP-headeren blir utenfor og synlig. I tunnelmodus er det beskyttede innholdet en komplett IP-pakke, og en ny ytre header navngir de to IPsec-partene.

Når konfidensialitet er valgt, omfatter det beskyttede området i tunnelmodus den indre IP-headeren, og derfor kan et opptak ikke fortelle deg de ekte endepunktene uten nøkler. Den ytre headeren forblir lesbar i begge tilfeller, og det er nettopp det som gjør feilsøking mulig i det hele tatt.

Spørsmål én: hva ligger nøyaktig inne i ESP

Se på pakken applikasjonen produserer, og spør hvilken grense som beskytter den. Hvis svaret er transportnyttelasten mellom to adresser som allerede er riktige, passer transportmodus uten å finne opp en ekstra header. Hvis det beskyttede innholdet trenger egne adresser, fordi de ekte endepunktene er forskjellige fra partene som bærer trafikken, gjør tunnelmodus jobben. Begge tilfellene finnes i samme organisasjon, og derfor dekker en enkelt policyuttalelse sjelden alt.

Det spørsmålet kan besvares ut fra et opptak og en rutetabell. Det kan ikke besvares ut fra en tegning som kaller boksene klient og server. Et opptak tatt hos en av partene viser innen sekunder hvilken av de to du ser på.

Spørsmål to: er det allerede en tunnel inni

L2TP er det historiske moteksempelet som viser poenget. Tjenesten bærer PPP inne i en L2TP-økt, og IPsec beskytter den utvekslingen; oppsettet angir transportmodus, med tunnelmodus tillatt som valg. Det synlige resultatet er en tunnel på tjenestenivå der den ytre beskyttelsen bruker transportmodus.

Så ordet tunnel i en produktbeskrivelse sier ingenting om modusen til laget under. Noter hvilket spørsmål som avgjorde det, for den neste gjennomgangen vil spørre om det samme. Les spesifikasjonen for den kombinasjonen i stedet for å resonnere fra navnet, for den vanen hindrer de fleste diskusjoner om hva et produkt må støtte.

Spørsmål tre: hva krever parten

To parter må bli enige, og et forslag som tilbyr én modus mens den andre krever den andre, feiler under forhandlingen i stedet for å degradere stille. Spør eieren av den fjerne enden hvilken modus policyen navngir, og kontroller forslaget i stedet for dokumentasjonssammendraget.

Blandede miljøer er vanlige: én gateway avslutter transportmodusøkter for et eldre produkt og tunnelmodusøkter for en stedsforbindelse. Modusen er per assosiasjon, ikke per enhet. Be om assosiasjonslisten i stedet for funksjonsnavnet, for navnet reiser raskere enn konfigurasjonen.

Å lese assosiasjonen som finnes

For en gjennomgang, list partene, modusen, selektorene og protokollen i neste lag, og legg deretter til enhver innkapsling som er viklet rundt resultatet. Adresseoversettelse legger til sin egen ytre visning og er ikke en modus; en oversatt strøm kan fortsatt være en av de to. Listen er det eneste artefaktet som viser assosiasjonen som installert og ikke som tiltenkt.

Avslutt med spørsmålet om ruting og autorisasjon, for et korrekt pakkeoppsett forteller deg ingenting om hvilke subnett som er tillatt eller om returveien finnes. De lever i policyen og i rutetabellen, og ingen av dem endrer argumentet om modus.