AH یا ESP؟ د هغه څه له مخې پریکړه وکړئ چې بنډل باید څه وژغوري

دوه IPsec وړاندیزونه کولای شي یو شان د SHA پر بنسټ د بشپړتیا الګوریتم ونوموي او بیا هم بېلابېل د ساتنې پروتوکولونه وغواړي؛ AH او ESP د یو تصدیق تنظیم دوه لیکنې نه دي. لومړی پروتوکول ولولئ، بیا د هغې الګوریتمونه، بیا د هغې حالت، او ډېره ناڅرګندتیا ورکېږي. AH بنډل تصدیقوي، په دې کې د IP سرلیک هغه ساحې هم شاملې دي چې په لار کې نه بدلېږي، خو ESP هغه څه تصدیق او کوډ کوي چې پخپله یې رانغاړي او باندې سرلیک پرېږدي. همدا توپیر له هر هش نوم څخه ډېر ځای پر ځای کېدل فیصله کوي.

AH څه پوښي چې ESP نه پوښي

AH بشپړتیا، د معلوماتو د سرچینې تصدیق او هغه د تکرار ضد خدمت چې پخپله یې تعریفوي وړاندې کوي، او هېڅ پټوالی نلري. د هغې پوښښ پورتنۍ طبقې معلومات او د IP سرلیک هغه ساحې رانغاړي چې قواعد یې نه بدلېدونکې ګڼي، یعنې هماغه برخه چې ESP په ترانسپورت حالت کې بهر پرېږدي. کله چې اړتیا ووایي چې پخپله IP سرلیک باید تصدیق شي، هغه پروتوکول چې ځواب ورکوي AH دی.

همدا پوښښ د دې سبب هم دی چې AH په عمل کې نازک دی. د TTL، د سرلیک د کنټرول جمع او ځینو انتخابونو په څېر بدلېدونکې ساحې نشي تصدیق کېدای ځکه روټرونه یې بیا لیکلای شي، نو پروتوکول یې د کنټرول له حساب مخکې صفر کوي. نو هر هغه څه چې پته بیا لیکي، نه یوازې تګلاره، بلکې حساب هم ماتوي.

NAT انتخاب په محدودیت بدلوي

د پتې ژباړه په هغه IP سرلیک کې سرچینه یا منزل بیا لیکي چې AH همدا اوس تصدیق کړی، نو د بشپړتیا کنټرول په بل سر کې ناکامېږي، او د لوستل کېدونکي پیغام په توګه نه، بلکې د پروتوکول د تېروتنې په توګه ناکامېږي. ESP باندې سرلیک تصدیق نه کوي، نو ځکه ESP د NAT له تېرېدو سره کار کوي او NAT شاته AH نه کوي. هغه تونل چې دواړه خواوې یې د عادي روټرونو شاته وي، هماغه لومړنی ځای دی چې دا ښکاري. نو لومړی پوښتنه دا نه ده چې کوم پروتوکول پیاوړی دی، بلکې دا ده چې د دوو خواوو ترمنځ ژباړونکی شته که نه.

که وي، AH وباسي، او خبرې ESP او د هغې د الګوریتم انتخاب ته ځي. دا غوره توب نه، بلکې محدودیت دی، نو ځای یې د پریکړې په پیل کې دی نه په پای کې.

حالت پوښتنه څو چنده کوي

ESP په ترانسپورت حالت کې د پورتنۍ طبقې بار ساتي او IP سرلیک پرېږدي؛ په تونل حالت کې ټول داخلي بنډل، په دې کې داخلي IP سرلیک هم، رانغاړي او ساتي یې. AH هم همدا دوه حالتونه لري، نو AH یا ESP په حقیقت کې څلور ترکیبونه دي مخکې له دې چې کوم الګوریتم وټاکل شي.

د یوځای حالت ESP الګوریتمونه بیا پرته له دویم پروتوکول بشپړتیا فیصله کوي. AES-GCM او ChaCha20-Poly1305 په یوه جوړښت کې تصدیق او کوډ کوي، نو د AH اضافه کول پورته هېڅ نه اخلي خو بل سرلیک او بله خبرې اترې لګښت کوي. معماري AH او ESP یوځای اجازه ورکوي، او عملي پوښتنه دا ده چې ایا ستاسو ګیټ وې او خپرونه دا ترکیب ملاتړ کوي او ایا وروسته څوک یې ساتلای شي.

د یوازې AH لپاره رښتینی بدیل

د یوازې بشپړتیا ESP ډول الګوریتم ساتي او د کوډ کولو ادعا د جعلي کولو پر ځای پرېږدي، او NAT تېرېږي. که پخوانی ډیزاین AH کارولی وي ځکه چې پرته له پټوالي تصدیق ته اړتیا وه، هماغه ډول مستقیم ژباړه ده، نه کوډ شوی تونل چې یادښت ورسره وي.

په وړاندیز کې ESP لیدل هم د کوډ کولو ثبوت نه دی. د کوډ کولو الګوریتم ولولئ: NULL ننوتنه یوازې بشپړتیا ده، او د یوځای حالت ننوتنه دواړه ده.

په درې پوښتنو پریکړه وکړئ

وپوښتئ چې پټوالی ته اړتیا ده که نه، په لار کې ژباړونکی شته که نه، او کومې سرلیک ساحې باید تصدیق شي. دا درې ځوابونه یو پروتوکول او یو حالت ته اشاره کوي، او لیکل یې له وروسته د RFC بیا لوستلو څخه لږ وخت نیسي.

بیا هغه څه وګورئ چې منل شوي، نه هغه څه چې وړاندیز شوي. ip xfrm state د نصب شوي ټولګې پروتوکول، حالت او الګوریتمونه ښيي، او ناسم والی هېڅ نه نصبوي، کوم چې له هغه تونل څخه چې پرته له هدف ساتنې پورته شي ښه پاکه ناکامي ده.

د تصدیق ناکامۍ، د ټاکونکو پوښښ او د لارې تېروتنې له دې انتخاب څخه بېل وساتئ. دوی بېلابېلې نښې ورکوي، او د ټاکونکي ستونزه لپاره پروتوکول ملامتول بې له سببه هش بدلولو سره یوه ورځ تېرولو باوري لار ده.