හොස්ට් දෙකක් අතර IPsec: ආරක්ෂණය ආරම්භ වන සහ අවසන් වන තැන
හොස්ට් යුගලයකට ගේට්වේයක් නොමැතිව තෝරාගත් ප්‍රවාහ ආරක්ෂා කළ හැක. අන්ත ලක්ෂ්‍ය, ප්‍රවාහ තෝරන ප්‍රතිපත්තිය සහ වෙන් වී තිබිය යුතු අවසර අර්ථ දක්වන්න.
හොස්ට් යුගලයක ආරක්ෂණය ආරම්භ වන්නේ ආරක්ෂක සබඳතාව අවසන් වන තැනිනි, ගේට්වේ ස්වරූපයෙන් සිතන අවබෝධය බොහෝ විට මග හරින්නේ එයයි. යෙදුම් සේවාදායකයකට සහ එහි දත්ත සමුදාය සේවාදායකයාට මාර්ගයේ දුරස්ථ ප්‍රවේශ සංකේන්ද්‍රකයක් නොමැතිව තම සංවාදය සෘජුවම ආරක්ෂා කළ හැක, එවිට ආරක්ෂක සීමාව ගිනිතාපයක නොව එක් එක් හොස්ට් තුළම පිහිටයි. එයින් ලැබෙන්නේ තෝරාගත් ප්‍රවාහ සඳහා අන්තයේ සිට අන්තයට ආවරණයකි. එයින් නොලැබෙන්නේ කවුරුන්ට කුමන පේළිය කියවිය හැකිද යන්න පිළිබඳ තීරණයකි.
සීමාව යනු SA අවසන් වන තැනයි
RFC 4301 විසින් ප්‍රවාහන ආකාරයේ ආරක්ෂක සබඳතා විස්තර කරන්නේ හොස්ට් යුගලයක් අතර අන්තයේ සිට අන්තයට ආරක්ෂණයට සාමාන්‍යයෙන් භාවිතා වන සැකැස්ම ලෙසය. එම හොස්ට් දෙක යතුරු දරාගෙන සිටින අතර, එක් එක් හොස්ට් තමාගේ කුමන පැකට් සබඳතාවට ඇතුළු වන්නේ දැයි තීරණය කරයි. ගේට්වේ උමං මාර්ගයක් අවසන් වන්නේ සම්පූර්ණයෙන්ම වෙනත් තැනක වන අතර අමතර අභ්‍යන්තර කොටසක් හරහා හොස්ට් වෙත ළඟා වේ, පැකට් එකේ ගමන් මගේ වැඩි කොටසක් සංකේතනය වී තිබුණත් එය වෙනස් විශ්වාස සීමාවකි.
කෙසේ වෙතත්, හොස්ට්-සිට-හොස්ට් සහ ප්‍රවාහන ආකාරය සමාන පද නොවේ. හොස්ට් දෙකක් අතරම උමං ආකාරයේ සබඳතාවක් ගොඩනැගීම ද එසේම නිවැරදි තේරීමක් බැවින්, පළමුව ආකාරය තෝරා පසුව අන්ත ලක්ෂ්‍ය විස්තර කරන්න. ආකාරය පමණක් දන්නා සමාලෝචකයෙකු අනෙක් ආකාරය උපකල්පනය කරන බැවින්, පීර් ලිපිනයන් අසල නිර්මාණ සටහනේ දෙකම ලියන්න.
ආරක්ෂණය තීරණය කරන්නේ SPD ය, දිශාව තීරණය කරන්නේ මාර්ගයයි
මාර්ගගත කිරීමේ වගුව පිළිතුරු දෙන්නේ පැකට් එක යන්නේ කොහේද යන්නටය. ආරක්ෂක ප්‍රතිපත්ති දත්ත සමුදාය පිළිතුරු දෙන්නේ තෝරාගත් ප්‍රවාහය ආරක්ෂක සීමාව හරහා ගමන් කරන්නේ කෙසේද යන්නටය, එය දිශාව අනුව තමන්ගේම තේරීම්කාරක භාවිතයෙන් කරයි. මෙම වෙන්වීම නිසා දත්ත සමුදාය වෙත ක්‍රියාකාරී මාර්ගයක් තිබීම ඉල්ලීම ආරක්ෂා වූ බව කිසිවක් ඔප්පු නොකරයි, එසේම ස්ථාපිත සාකච්ඡාවක් පවතින බව මෙම විශේෂ යෙදුම ඊට ගැළපුණු බව කිසිවක් ඔප්පු නොකරයි. කවුන්ටර සංසන්දනය කිරීමට පෙර තේරීම්කාරක සංසන්දනය කරන්න, මන්ද කවුන්ටර විස්තර කරන්නේ එතැනට පැමිණි ප්‍රවාහ පමණක් බැවිනි.
Linux මත, ip xfrm policy මෙම සටහන් දිශාව, ප්‍රමුඛතාව, තේරීම්කාරකය සහ allow, block හෝ trap ක්‍රියාව සමඟ මුද්‍රණය කරයි, ip xfrm state විසින් ඒවායින් ලැබෙන සබඳතා සහ ඒවායේ කවුන්ටර පෙන්වයි. දෙකම එකට කියවීමෙන් තවත් පුළුල් allow සටහනක් පළමුව ගැළපුණු නිසා නිහඬව උමං මාර්ගය මගහැර ගිය ප්‍රවාහය සොයාගත හැක.
ප්‍රමුඛතා අනුපිළිවෙල ක්‍රියාත්මක කිරීමේ විස්තරයක් නොව ප්‍රතිපත්තියේ කොටසකි. දත්ත සමුදායේ තොටුපොළ ආරක්ෂා කළ යුතු පටු සටහනක් වඩා ඉහළ ප්‍රමුඛතාවක් ඇති පුළුල් සටහනකට පරාජය වන අතර, එම අසාර්ථකත්වය පෙනෙන්නේ ප්‍රතිපත්තිය කිසිදා විමසා නොබැලූ ලෙසය.
ප්‍රවාහන ආකාරය ආවරණය කරන්නේ ඊළඟ ස්තරයයි, IP ශීර්ෂය නොවේ
| Transport mode | Tunnel mode | |
|---|---|---|
| Original IP header | kept for routing the flow | replaced by an outer header |
| What ESP protects | the carried next-layer payload | the whole inner IP packet |
| Where it terminates | commonly the two hosts | gateway pair, or a host pair |
ප්‍රවාහන ආකාරයේදී ESP ශීර්ෂය IP ශීර්ෂය සහ පේලෝඩය අතර පිහිටන අතර, එම ශීර්ෂයේ ලිපින ක්ෂේත්‍ර මාර්ගයේ සෑම උපාංගයකටම දෘශ්‍යමානව පවතී. ලිපින රහස නොව පේලෝඩය රහස වන විට එය පිළිගත හැක. අභ්‍යන්තර ස්ථල විද්‍යාව ද සැඟවිය යුතු නම් එය වැරදි තේරීමකි, මන්ද මුල් ශීර්ෂය නව ශීර්ෂයක් තුළ ඔතන්නේ උමං ආකාරය පමණක් බැවිනි.
ආකාර දෙකටම ඊළඟ ස්තරයේ ප්‍රොටෝකෝල කිහිපයක් රැගෙන යා හැක, ESP ආරක්ෂා කරන්නේ හොස්ට් යවන සියල්ල නොව තේරීම්කාරකයට ගැළපෙන දේ පමණි.
තේරීම සම්බන්ධතාවට වඩා පටුය
එක් සබඳතාවකට ප්‍රවාහ කිහිපයක් රැගෙන යා හැක, නමුත් රැගෙන යන්නේ ප්‍රතිපත්තිය තෝරන ඒවා පමණි. ඔබ අදහස් කරන සම්බන්ධතාව සඳහා පීර් අනන්‍යතා, මූලාශ්‍ර සහ ගමනාන්ත ලිපින, ප්‍රොටෝකෝලය සහ සේවා විෂය පථය සටහන් කර, ඊට වෙනස්ව නොගැළපෙන ප්‍රවාහ පැහැදිලිව යා හැකිද, ආරක්ෂා කළ යුතුද, නැතහොත් සබඳතාව නොමැති විට ඉවත දැමිය යුතුද යන්න තීරණය කරන්න. අවසන් තීරණය විස්මය ගෙන දෙන්නේ, වැරදි මූලාශ්‍රයක් සඳහා ආරක්ෂණය ඉල්ලන නීතියක් ආගන්තුකයා අවහිර කරන තරමටම ඔබේම කළමනාකරණ ප්‍රවේශය ද අවහිර කරන බැවිනි.
බලාත්මක කිරීම වෙනස් කරන අතරතුර අනුමත බාහිර මාර්ගයක් රඳවා ගන්න, හොස්ට් දෙකම ළඟා නොවන බවට පත් වූ පසුව නොව එය අවශ්‍ය වීමට පෙර පරීක්ෂා කරන්න.
යන්ත්‍ර අනන්‍යතාව යෙදුම් අවසරය නොවේ
IPsec විසින් වින්‍යාසගත පීර් එකක් සත්‍යාපනය කර තෝරාගත් පැකට් ආරක්ෂා කරයි. පුද්ගලයෙකුට කුමන දත්ත සමුදාය වාර්තාවක් සංස්කරණය කළ හැකිද යන්න එය තීරණය නොකරන අතර, විශ්වාසනීය සේවාදායක අනන්‍යතාවක් සෑම යෙදුම් වරප්‍රසාදයකටම දෙන අවසරයක් බවට පත් නොකරයි. යෙදුම් ගිණුම්, භූමිකා සහ අවසර දීම තිබූ තැනම රැඳේ, යෙදුම් මට්ටමේ TLS අවශ්‍යතාව ජාල මාර්ගය දැනටමත් ආරක්ෂිත වුවත් තමන්ගේම අරමුණ රඳවා ගනී.
අපේක්ෂිත මූලාශ්‍රයෙන් එන එක් ක්‍රියාවක් සහ ප්‍රතික්ෂේප විය යුතු එක් ක්‍රියාවක් සමඟ නිර්මාණය පිළිගන්න, අවශ්‍ය සබඳතාව ස්ථාපිත කළ නොහැකි විට සිදුවන දේ ද ඇතුළත් කරන්න. සාමාන්‍ය ළඟාවීමේ පරීක්ෂණයක් කියන්නේ පැකට් ගමන් කරන බව පමණි, ඒවා ඔබ ලියූ ප්‍රතිපත්තිය යටතේ ගමන් කළ බව එය නොකියයි.