IPsec د دوو کوربه توب تر منځ: ساتنه چېرې پیل او چېرې پای ته رسي

په کوربه توب جوړه کې ساتنه هغه ځای پیلېږي چېرې چې د امنیت تړون پای ته رسي، او دا هغه حقیقت دی چې د لارښوونکو په بڼه جوړ شوی حس یې تر ټولو ډېر له لاسه ورکوي۔ د اپلیکیشن سرور او د هغه د معلوماتو زېرمې سرور کولای شي خپله خبرې اترې په مستقیم ډول وساتي، پرته له دې چې په لار کې د لرې لاسرسي کوم مرکز وي، او د ساتنې پوله بیا د هر کوربه دننه وي نه په اور وژونکي دیوال کې۔ دا تاسو ته د ټاکل شوو بهیرونو لپاره له سره تر سره پوښښ درکوي۔ او دا تاسو ته د دې پریکړه نه درکوي چې څوک کومه کرښه لوستلای شي۔

پوله هغه ځای دی چېرې چې SA پای ته رسي

RFC 4301 په لېږدیز حالت کې د امنیت تړونونه هغه ترتیب بولي چې معمولاً د کوربه توب جوړې تر منځ له سره تر سره ساتنې لپاره کارول کېږي۔ دا دواړه کوربه کلیدونه ساتي او هر یو ټاکي چې د هغه کوم پاکټونه تړون ته ننوځي۔ د لارښوونکي تونل په بشپړ ډول بل ځای پای ته رسي او کوربه ته د یوې اضافي داخلي برخې له لارې رسي، چې دا د باور بله پوله ده حتی کله چې پاکټ د خپل سفر په ډېره برخه کې کوډ شوی وي۔

کوربه-تر-کوربه او لېږدیز حالت بیا مترادف نه دي۔ دوه کوربه کولای شي په خپل منځ کې د تونل حالت تړون په هماغه سمه توګه جوړ کړي، نو لومړی حالت وټاکئ او بیا پای ټکي بیان کړئ۔ دواړه په ډیزاین یادښت کې د سیالو پتو تر څنګ ولیکئ، ځکه چې یوازې حالت پېژندونکی بیاکتنه کوونکی به بل فرض کړي۔

SPD د ساتنې او لار د لوري پریکړه کوي

د لارې جدول ځواب وايي چې پاکټ چېرې ځي۔ د امنیت تګلارې زېرمه ځواب وايي چې ټاکل شوی ټرافیک د ساتنې پوله څنګه تېروي، او دا د هر لوري لپاره په خپلو ټاکونکو سره کوي۔ همدا بېلوالی لامل دی چې د معلوماتو زېرمې ته کارکوونکې لار په دې اړه هېڅ نه ثابتوي چې غوښتنه ساتل شوې وه که نه، او لامل دی چې جوړ شوی مذاکره هېڅ نه ثابتوي په دې اړه چې ایا همدا ځانګړی اپلیکیشن ورسره سمون درلود۔ ټاکونکي پرتله کړئ مخکې له دې چې شمارونکي پرتله کړئ، ځکه شمارونکي یوازې هغه بهیرونه بیانوي چې تر دې ځایه رسېدلي دي۔

په Linux کې ip xfrm policy هغه ننوتنې د خپل لوري، لومړیتوب، ټاکونکي او د اجازه، بندړ یا دام کړنې سره چاپوي، په داسې حال کې چې ip xfrm state رامنځته شوي تړونونه او د هغوی شمارونکي ښيي۔ دواړه یوځای لوستل هغه لار ده چې تاسو هغه بهیر ومومئ چې تونل یې په غلې ډول پریښود ځکه چې یوه پراخه اجازه ننوتنه لومړی سمون درلود۔

د لومړیتوب ترتیب د تګلارې برخه ده، نه د پلي کېدو تفصیل۔ هغه تنګه ننوتنه چې باید د معلوماتو زېرمې پورټ وساتي، له لوړ لومړیتوب لرونکې پراخې ننوتنې څخه بایلېږي، او ناکامي داسې ښکاري لکه له تګلارې نه وي پوښتل شوي۔

لېږدیز حالت بله طبقه پوښي، نه د IP سرلیک

په لېږدیز حالت کې د ESP سرلیک د IP سرلیک او بار تر منځ دی، او د هغه سرلیک د پتې ساحې په لار کې هر وسیلې ته ښکاره پاتې کېږي۔ دا ښه ده کله چې پتې راز نه وي او بار راز وي۔ دا غلطه ټاکنه ده که تاسو ته هم اړینه وي چې داخلي جوړښت پټ کړئ، ځکه یوازې د تونل حالت اصلي سرلیک په نوي کې تاووي۔

دواړه حالتونه کولای شي د بلې طبقې څو پروتوکولونه ولېږدوي، او ESP به هغه څه وساتي چې ټاکونکی ورسره سمون لري نه هغه هر څه چې کوربه یې لېږي۔

ټاکنه له اړیکې تنګه ده

یو تړون کولای شي څو بهیرونه ولېږدوي، خو یوازې هغه چې تګلاره یې ټاکي۔ د سیالانو هویتونه، د سرچینې او منزل پتې، پروتوکول او د هغه اړیکې د خدمت لمن چې تاسو یې اراده لرئ ثبت کړئ، بیا په جلا توګه پریکړه وکړئ چې ایا ناسم ټرافیک خلاص تلای شي، باید وساتل شي، یا باید وغورځول شي کله چې تړون شتون نه لري۔ همدا وروستی پریکړه حیرانتیاوې رامنځته کوي، ځکه هغه قاعده چې د ناسمې سرچینې لپاره ساتنه غواړي کولای شي ستاسو خپل مدیریتي لاسرسی هومره اغېزمن بند کړي څومره چې یو ننوتونکی بندوي۔

په دې موده کې چې پلي کول بدلوئ یوه منظورشوې بهرنۍ لار وساتئ، او هغه مهال یې وآزموئ چې اړتیا ورته لرئ نه هغه مهال چې دواړه کوربه نارسېدونکي شول۔

د ماشین هویت د اپلیکیشن اجازه نه ده

IPsec تنظیم شوی سیال تصدیقوي او ټاکل شوي پاکټونه ساتي۔ دا نه پریکړه کوي چې یو کس کومه معلوماتي زېرمه بدلولی شي، او نه د باوري سرور هویت په ټولو اپلیکیشن امتیازونو ورکولو بدلوي۔ د اپلیکیشن حسابونه، رولونه او اجازه په سمه توګه هغه ځای پاتې کېږي چې وو، او د اپلیکیشن کچې TLS شرط خپل هدف ساتي حتی کله چې د شبکې لار له مخکې ساتل شوې وي۔

ډیزاین د پام اړخ څخه یو عمل او د هغه عمل سره ومنئ چې باید رد شي، او دا هم شامل کړئ چې کله اړین تړون نه شي جوړېدای څه پېښېږي۔ یو عادي لاسرسي ازموینه تاسو ته وايي چې پاکټونه ځي؛ دا نه وايي چې هغوی ستاسو لیکل شوې تګلارې لاندې ځي۔