AH ද ESP ද? පැකට්ටුව රක්ෂා කළ යුත්තේ කුමක්ද යන්නෙන් තීරණය කරන්න
AH පැකට්ටුවේ වැඩි කොටසක් සත්‍යාපනය කරන අතර කිසිවක් සංකේතනය නොකරයි; ESP සංකේතනය සහ සත්‍යාපනය දෙකම කළ හැක. ආරක්ෂා කළ යුතු ක්ෂේත්‍ර අනුව තෝරන්න, පසුව මාදිලියට එකඟ වන්න.
IPsec යෝජනා දෙකක් එකම SHA පාදක අඛණ්ඩතා ඇල්ගොරිතම නම් කරමින් වෙනස් ආරක්ෂණ ප්‍රොටෝකෝල ඉල්ලා සිටිය හැක; AH සහ ESP එකම සත්‍යාපන සැකසුමක අක්ෂර වින්‍යාස දෙකක් නොවේ. මුලින්ම ප්‍රොටෝකෝලය, පසුව එහි ඇල්ගොරිතම, පසුව එහි මාදිලිය කියවන්න, එවිට බොහෝ අපැහැදිලිකම් නැති වේ. AH ගමනේදී නොවෙනස්ව පවතින IP ශීර්ෂ ක්ෂේත්‍ර ඇතුළුව පැකට්ටුව සත්‍යාපනය කරයි, ESP නම් තමන් ඇතුළත් කරන දේ සත්‍යාපනය කර සංකේතනය කර පිටත ශීර්ෂය එලෙසම තබයි. එම වෙනස කිසිදු හෑෂ නාමයකට වඩා වැඩි පිහිටුවීම් තීරණය කරයි.
AH ආවරණය කරන නමුත් ESP නොකරන දේ
AH අඛණ්ඩතාව, දත්ත මූලාශ්‍ර සත්‍යාපනය සහ තමන් නිර්වචනය කරන පුනරාවර්තන විරෝධී සේවාව ලබා දෙන අතර රහස්‍යභාවයක් නොදෙයි. එහි ආවරණයට ඉහළ ස්ථරයේ දත්ත සහ එහි නීති වෙනස් නොවන ලෙස සලකන IP ශීර්ෂ ක්ෂේත්‍ර ඇතුළත් වේ, එනම් ESP ප්‍රවාහන මාදිලියේ පිටත තබන කොටසය. අවශ්‍යතාවයක් පවසන්නේ IP ශීර්ෂයම සත්‍යාපනය කළ යුතු බව නම්, ඊට පිළිතුරු දෙන ප්‍රොටෝකෝලය AH ය.
මෙම ආවරණයම AH ක්ෂේත්‍රයේ දුර්වල වීමට හේතුවයි. TTL, ශීර්ෂ චෙක්සම් සහ සමහර විකල්ප වැනි වෙනස් වන ක්ෂේත්‍ර සත්‍යාපනය කළ නොහැක්කේ රවුටර ඒවා නැවත ලිවිය හැකි බැවිනි, එබැවින් ප්‍රොටෝකෝලය චෙක්සම් ගණනය කිරීමට පෙර ඒවා බිංදුවට පත් කරයි. එබැවින් ලිපින නැවත ලියන කිසිවක් ප්‍රතිපත්තිය පමණක් නොව ගණනයද බිඳ දමයි.
NAT තේරීම බාධකයක් බවට පත් කරයි
ලිපින පරිවර්තනය AH දැන් සත්‍යාපනය කළ IP ශීර්ෂයේ මූලාශ්‍රය හෝ ගමනාන්තය නැවත ලියයි, එබැවින් අඛණ්ඩතා පරීක්ෂාව අනෙක් කෙළවරේ අසාර්ථක වේ, එය කියවිය හැකි පණිවිඩයක් ලෙස නොව ප්‍රොටෝකෝල දෝෂයක් ලෙස අසාර්ථක වේ. ESP පිටත ශීර්ෂය සත්‍යාපනය නොකරයි, එබැවින් NAT හරහා යාම සමඟ ESP ක්‍රියා කරන අතර NAT පිටුපස AH නොකරයි. දෙපසම සාමාන්‍ය රවුටර පිටුපස ඇති උමං මාර්ගය මෙය මුලින්ම දිස්වන ස්ථානයයි. එබැවින් පළමු ප්‍රශ්නය කුමන ප්‍රොටෝකෝලය ශක්තිමත්ද යන්න නොව, දෙපස අතර පරිවර්තකයෙක් සිටීද යන්නයි.
සිටී නම් AH ඉවත් වේ, සංවාදය ESP සහ එහි ඇල්ගොරිතම තේරීම වෙත යයි. මෙය මනාපයක් නොව බාධකයක් බැවින් එය තීරණයේ අවසානයේ නොව ආරම්භයේ තිබේ.
මාදිලිය ප්‍රශ්නය ගුණ කරයි
ESP ප්‍රවාහන මාදිලියේ ඉහළ ස්ථරයේ භාරය ආරක්ෂා කර IP ශීර්ෂය එලෙසම තබයි; උමං මාදිලියේ අභ්‍යන්තර IP ශීර්ෂය ඇතුළුව මුළු අභ්‍යන්තර පැකට්ටුවම ඇතුළත් කර ආරක්ෂා කරයි. AH ටද එම මාදිලි දෙකම ඇත, එබැවින් AH හෝ ESP යනු කිසිදු ඇල්ගොරිතමයක් තෝරා ගැනීමට පෙර ඇත්ත වශයෙන්ම සංයෝජන හතරකි.
සංයුක්ත මාදිලියේ ESP ඇල්ගොරිතම පසුව දෙවන ප්‍රොටෝකෝලයක් නොමැතිව අඛණ්ඩතාව තීරණය කරයි. AES-GCM සහ ChaCha20-Poly1305 එකම ඉදිකිරීමක සත්‍යාපනය සහ සංකේතනය කරයි, එබැවින් ඉහළින් AH එකතු කිරීමෙන් කිසිවක් නොලැබේ නමුත් තවත් ශීර්ෂයක් සහ තවත් සාකච්ඡාවක් වැය වේ. ගෘහ නිර්මාණය AH සහ ESP එකට අවසර දෙයි, සහ ප්‍රායෝගික ප්‍රශ්නය වන්නේ ඔබේ ගේට්වේ සහ නිකුතුව මෙම සංයෝජනයට සහාය දක්වනවාද සහ පසුව යමෙකුට එය නඩත්තු කළ හැකිද යන්නයි.
AH පමණක් සඳහා අවංක ආදේශකය
අඛණ්ඩතාව පමණක් ESP ප්‍රභේදය ඇල්ගොරිතමය රඳවා ගනිමින් සංකේතන ප්‍රකාශය අත්හරියි, එය අනුකරණය නොකර, සහ NAT හරහා යයි. පැරණි නිර්මාණයක් රහස්‍යභාවයක් නොමැතිව සත්‍යාපනය අවශ්‍ය වූ නිසා AH භාවිත කළේ නම්, එම ප්‍රභේදය සෘජු පරිවර්තනයයි, සටහනක් සමඟ සංකේතිත උමං මාර්ගයක් නොවේ.
යෝජනාවක ESP දැකීමද සංකේතනයේ සාක්ෂියක් නොවේ. සංකේතන ඇල්ගොරිතමය කියවන්න: NULL සටහන යනු අඛණ්ඩතාව පමණක්, සහ සංයුක්ත මාදිලි සටහන යනු දෙකමය.
ප්‍රශ්න තුනකින් තීරණය කරන්න
රහස්‍යභාවය අවශ්‍යද, මාර්ගයේ පරිවර්තකයෙක් සිටීද, සහ කුමන ශීර්ෂ ක්ෂේත්‍ර සත්‍යාපනය කළ යුතුද යන්න අසන්න. එම පිළිතුරු තුන එක් ප්‍රොටෝකෝලයක් සහ එක් මාදිලියක් පෙන්වයි, ඒවා ලිවීම පසුව RFC නැවත කියවීමට වඩා අඩු කාලයක් ගනී.
පසුව සත්‍යාපනය කරන්නේ පිළිගත් දේ මිස යෝජිත දේ නොවේ. ip xfrm state ස්ථාපිත සංගමයේ ප්‍රොටෝකෝලය, මාදිලිය සහ ඇල්ගොරිතම පෙන්වයි, සහ නොගැලපීමක් නම් කිසිවක් ස්ථාපිත නොවේ, එය අපේක්ෂිත ආරක්ෂාව නොමැතිව ඉහළ එන උමං මාර්ගයකට වඩා පිරිසිදු අසාර්ථකත්වයකි.
සත්‍යාපන අසාර්ථකත්ව, තේරීම්කරුවන්ගේ ආවරණය සහ මාර්ග දෝෂ මෙම තේරීමෙන් වෙන් කර තබන්න. ඒවා වෙනස් ලක්ෂණ ලබා දෙයි, සහ තේරීම්කරු ගැටලුවකට ප්‍රොටෝකෝලයට දොස් පැවරීම හේතුවක් නොමැතිව හෑෂ මාරු කරමින් දිනක් ගත කිරීමේ විශ්වාසදායක ක්‍රමයකි.