Oznacz tryb, zanim porównasz dwa diagramy pakietu VPN

Dwa diagramy mogą być jednocześnie poprawne i wyglądać różnie, ponieważ mogą opisywać różne pakiety. Komunikat negocjacji i pakiet danych aplikacji nie dzielą tego samego układu, nawet w obrębie jednej sesji, a tryb transportowy i tryb tunelowy też nie. Porównywanie rysunków bez wskazania, który pakiet i który tryb każdy z nich przedstawia, rodzi spór o nagłówki, które nigdy nie miały się zgadzać. Cztery etykiety rozstrzygają to, zanim rozpocznie się porównanie.

Obok każdego rysunku zapisz implementację i tryb, kanał, transport zewnętrzny oraz przenoszony ładunek.

Tryb transportowy i tryb tunelowy przemieszczają nagłówek inaczej

W trybie transportowym ESP znajduje się po nagłówku IP i przed przenoszonym protokołem, więc pierwotny nagłówek IP pozostaje poza ochroną. W trybie tunelowym nowy zewnętrzny nagłówek IP adresuje dwóch partnerów IPsec, a chroniony pakiet wewnętrzny zachowuje własny nagłówek IP. Oba są zdefiniowane w RFC 4303 i oba są poprawne dla swojego trybu. Uproszczony szkic, który pomija końcówkę i pola integralności, nadaje się do rozmieszczenia i jest bezużyteczny do liczenia bajtów.

Transport nie oznacza konkretnie TCP ani UDP. Przenoszony protokół następnej warstwy może być dowolny, a diagram utożsamiający tryb transportowy z jednym protokołem po cichu dodał założenie.

Komunikaty sterujące nie są komunikatami danych

L2TP rozdziela dwa typy komunikatów: komunikaty danych przenoszące ramki PPP oraz komunikaty sterujące, które ustanawiają, utrzymują i rozbierają tunel i jego połączenia. Kanał sterujący jest niezawodny, natomiast utracone komunikaty danych nie są po prostu retransmitowane przez L2TP. Rysunek zawierający PPP może więc opisywać ładunek przenoszony przez komunikat danych, a nie nagłówek, który musi zawierać każda chroniona sesja. Połączenie L2TP z ochroną dodaje wybrany układ bezpieczeństwa na wierzchu i nie czyni wszystkich komunikatów identycznymi.

Jeśli diagram twierdzi, że oba typy komunikatów wyglądają tak samo, opisuje inny protokół lub inny zakres.

Porównuj równoważne punkty przechwytywania

Przechwycenie na interfejsie zewnętrznym pokazuje nagłówki ochrony i transportu; przechwycenie wewnętrzne, wykonane po dekapsulacji, pokazuje przenoszony pakiet. Żadne nie jest błędne, a porównanie jednego z drugim sprawia, że nagłówki wyglądają na brakujące lub zduplikowane. Enkapsulacja UDP, zdefiniowana dla przejścia przez NAT, dodaje kolejną warstwę zewnętrzną, której rysunek z natywnym ESP nie będzie miał. Oba rysunki mogą być poprawnymi opisami różnych układów transportu.

Podaj punkt przechwytywania wraz z diagramem i porównuj równoważne komunikaty w równoważnych trybach. Brakujący nagłówek jest dowodem usterki tylko wtedy, gdy oba rysunki twierdzą, że chodzi o ten sam punkt i ten sam typ pakietu.

Trzymaj etykiety przy rysunku

Diagram bez etykiet szybko się starzeje, bo kolejny czytelnik dodaje własne założenia. Dodaj cztery etykiety, zaznacz granicę ochrony i zanotuj, czy rysunek służy rozmieszczeniu, czy wymiarowaniu. Jeśli wymiarowaniu, użyj pełnej specyfikacji zamiast szkicu. Koszt etykiet to minuta; koszt sporu, któremu zapobiegają, to całe popołudnie.

Gdy dwa dokumenty się nie zgadzają, najpierw porównaj ich etykiety. Rozbieżność na poziomie trybu lub kanału wyjaśnia różnicę całkowicie i żaden nagłówek w rzeczywistości nie brakuje.

Zapisz, który pakiet, który tryb i który punkt przechwytywania pokazuje rysunek. Ten zapis to druga połowa diagramu.