Транспортный или туннельный режим: решайте по пакету, а не по схеме
Транспорт и туннель описывают, что находится внутри ESP, а не то, участвует ли хост или шлюз. Три вопроса определяют, какой режим нужен развёртыванию.
Схемы из учебников связывают транспортный режим с двумя хостами, а туннельный — с двумя шлюзами, и это правило держится до первого развёртывания, которое его нарушает. Режим описывает, что оборачивает пакет ESP, а не кто является сторонами. Шлюз может защищать трафик в транспортном режиме, а пара хостов может использовать туннельный режим, если так выберет. Три вопроса определяют, что нужно конкретному развёртыванию.
Режим — это раскладка, а не топология
В транспортном режиме заголовок ESP идёт после заголовка IP и перед полезной нагрузкой следующего уровня, поэтому исходный заголовок IP остаётся снаружи и виден. В туннельном режиме защищённое содержимое — это целый пакет IP, а новый внешний заголовок называет двух участников IPsec.
| Mode | What follows the outer IP header | Headers a capture shows |
|---|---|---|
| Transport | ESP, then the next-layer payload | One IP header |
| Tunnel | ESP, then a whole inner IP packet | Outer and inner headers |
При выбранной конфиденциальности защищённая область в туннельном режиме включает этот внутренний заголовок IP, поэтому запись без ключей не может сообщить настоящие конечные точки. Внешний заголовок остаётся читаемым в обоих случаях, и именно это вообще делает возможным поиск неисправностей.
Первый вопрос: что именно внутри ESP
Посмотрите на пакет, который создаёт приложение, и спросите, какая граница его защищает. Если ответ — полезная нагрузка транспорта между двумя уже правильными адресами, транспортный режим подходит без изобретения второго заголовка. Если защищённому содержимому нужны собственные адреса, потому что настоящие конечные точки отличаются от сторон, несущих трафик, работу выполняет туннельный режим. Оба случая существуют в одной организации, поэтому одно заявление о политике редко охватывает всё.
На этот вопрос можно ответить по записи и таблице маршрутизации. На него нельзя ответить по чертежу, который называет блоки клиентом и сервером. Запись, снятая на любой из сторон, за секунды показывает, на какую из двух вы смотрите.
Второй вопрос: есть ли внутри уже туннель
L2TP — это исторический контрпример, который показывает суть. Служба несёт PPP внутри сеанса L2TP, и IPsec защищает этот обмен; раскладка задаёт транспортный режим, а туннельный режим разрешён как опция. Видимый результат — туннель на уровне службы, внешняя защита которого использует транспортный режим.
Итак, слово туннель в описании продукта ничего не говорит о режиме слоя под ним. Запишите, какой вопрос это решил, потому что следующий рецензент спросит то же самое. Читайте спецификацию такого сочетания, а не рассуждайте от названия, потому что эта привычка предотвращает большинство споров о том, что продукт должен поддерживать.
Третий вопрос: чего требует сторона
Две стороны должны договориться, а предложение, которое даёт один режим, тогда как другая сторона требует второй, терпит неудачу при согласовании, а не тихо деградирует. Спросите владельца дальнего конца, какой режим называет политика, и проверьте предложение, а не сводку документации.
Смешанные среды обычны: один шлюз завершает сеансы транспортного режима для старого продукта и сеансы туннельного режима для связи между площадками. Режим задаётся для каждой ассоциации, а не для устройства. Просите список ассоциаций, а не название функции, потому что название путешествует быстрее конфигурации.
Чтение существующей ассоциации
Для обзора перечислите стороны, режим, селекторы и протокол следующего уровня, затем добавьте любую инкапсуляцию, обёрнутую вокруг результата. Трансляция адресов добавляет свой внешний вид и не является режимом; транслированный поток всё ещё может быть любым из двух. Список — единственный артефакт, который показывает ассоциацию так, как она установлена, а не так, как задумана.
Закончите вопросом о маршрутизации и авторизации, потому что правильная раскладка пакета ничего не говорит о том, какие подсети разрешены или существует ли обратный путь. Они живут в политике и в таблице маршрутов, и ни то, ни другое не меняет довод о режиме.