Modo transporte ou túnel: decida pelo pacote, não pelo diagrama

Os diagramas dos manuais associam o modo transporte a dois hosts e o modo túnel a dois gateways, e essa regra prática resiste até à primeira implantação que a quebra. O modo descreve o que o pacote ESP envolve, não quem são os pares. Um gateway pode proteger tráfego em modo transporte, e um par de hosts pode usar modo túnel se assim escolher. Três perguntas determinam o que uma implantação específica precisa.

O modo é uma disposição, não uma topologia

No modo transporte, o cabeçalho ESP vem depois do cabeçalho IP e antes da carga útil da camada seguinte, então o cabeçalho IP original fica de fora e visível. No modo túnel, o conteúdo protegido é um pacote IP completo, e um novo cabeçalho externo nomeia os dois pares IPsec.

Com a confidencialidade escolhida, a região protegida no modo túnel inclui esse cabeçalho IP interno, e por isso uma captura não pode revelar os pontos finais reais sem chaves. O cabeçalho externo permanece legível nos dois casos, e é isso que torna a resolução de problemas possível.

Primeira pergunta: o que está exatamente dentro do ESP

Olhe para o pacote que a aplicação produz e pergunte que fronteira o protege. Se a resposta for a carga útil de transporte entre dois endereços já corretos, o modo transporte encaixa sem inventar um segundo cabeçalho. Se o conteúdo protegido precisar de endereços próprios, porque os pontos finais reais diferem dos pares que transportam o tráfego, o modo túnel faz o trabalho. Os dois casos existem na mesma organização, e por isso uma única declaração de política raramente cobre tudo.

Essa pergunta pode ser respondida com uma captura e uma tabela de encaminhamento. Não pode ser respondida com um desenho que rotula as caixas como cliente e servidor. Uma captura feita em qualquer dos pares mostra em segundos qual dos dois está a observar.

Segunda pergunta: já existe um túnel lá dentro

L2TP é o contraexemplo histórico que demonstra o ponto. O serviço transporta PPP dentro de uma sessão L2TP, e o IPsec protege essa troca; a disposição especifica o modo transporte, com o modo túnel permitido como opção. O resultado visível é um túnel ao nível do serviço cuja proteção exterior usa o modo transporte.

Portanto, a presença da palavra túnel na descrição de um produto não diz nada sobre o modo da camada abaixo. Registe qual pergunta o resolveu, porque o próximo revisor perguntará o mesmo. Leia a especificação dessa combinação em vez de raciocinar a partir do nome, pois esse hábito evita a maioria das discussões sobre o que um produto deve suportar.

Terceira pergunta: o que o par exige

Dois pares têm de concordar, e uma proposta que oferece um modo enquanto o outro exige o segundo falha durante a negociação em vez de degradar em silêncio. Pergunte ao proprietário da extremidade remota qual modo a política nomeia, e verifique a proposta em vez do resumo da documentação.

Ambientes mistos são comuns: um gateway termina sessões de modo transporte para um produto legado e sessões de modo túnel para uma ligação de site. O modo é por associação, não por dispositivo. Peça a lista de associações em vez do nome da funcionalidade, porque o nome viaja mais depressa do que a configuração.

Ler a associação que existe

Para uma revisão, liste os pares, o modo, os seletores e o protocolo da camada seguinte, e depois acrescente qualquer encapsulamento envolto em torno do resultado. A tradução de endereços acrescenta a sua própria vista exterior e não é um modo; um fluxo traduzido pode continuar a ser qualquer dos dois. A lista é o único artefacto que mostra a associação tal como está instalada e não como era pretendida.

Termine com a pergunta de encaminhamento e autorização, porque uma disposição de pacote correta não lhe diz nada sobre que sub-redes são permitidas nem se o caminho de resposta existe. Essas vivem na política e na tabela de encaminhamento, e nenhuma delas altera o argumento sobre o modo.