Transportný alebo tunelový režim: rozhodujte podľa paketu, nie podľa schémy
Transport a tunel opisujú, čo je vnútri ESP, nie to, či je zapojený hostiteľ alebo brána. Tri otázky určujú, ktorý režim nasadenie potrebuje.
Schémy z učebníc spájajú transportný režim s dvoma hostiteľmi a tunelový režim s dvoma bránami, a toto pravidlo vydrží až do prvého nasadenia, ktoré ho poruší. Režim opisuje, čo ESP paket obaľuje, nie to, kto sú strany. Brána môže chrániť prevádzku v transportnom režime a dvojica hostiteľov môže použiť tunelový režim, ak sa tak rozhodne. Tri otázky určujú, čo konkrétne nasadenie potrebuje.
Režim je usporiadanie, nie topológia
V transportnom režime ide hlavička ESP za hlavičkou IP a pred užitočným zaťažením ďalšej vrstvy, takže pôvodná hlavička IP zostáva vonku a viditeľná. V tunelovom režime je chránený obsah celý paket IP a nová vonkajšia hlavička pomenúva obe strany IPsec.
| Mode | What follows the outer IP header | Headers a capture shows |
|---|---|---|
| Transport | ESP, then the next-layer payload | One IP header |
| Tunnel | ESP, then a whole inner IP packet | Outer and inner headers |
Pri zvolenej dôvernosti chránená oblasť v tunelovom režime zahŕňa tú vnútornú hlavičku IP, a preto záznam bez kľúčov nemôže prezradiť skutočné koncové body. Vonkajšia hlavička zostáva čitateľná v oboch prípadoch, a práve to vôbec umožňuje riešenie problémov.
Prvá otázka: čo presne je vnútri ESP
Pozrite sa na paket, ktorý vytvára aplikácia, a spýtajte sa, ktorá hranica ho chráni. Ak je odpoveďou transportné užitočné zaťaženie medzi dvoma už správnymi adresami, transportný režim sa hodí bez vymýšľania druhej hlavičky. Ak chránený obsah potrebuje vlastné adresy, pretože skutočné koncové body sa líšia od strán, ktoré nesú prevádzku, prácu vykoná tunelový režim. Oba prípady existujú v tej istej organizácii, a preto jedna politická veta pokrýva všetko len zriedka.
Na túto otázku sa dá odpovedať zo záznamu a zo smerovacej tabuľky. Nedá sa na ňu odpovedať z nákresu, ktorý rámčeky nazýva klientom a serverom. Záznam zachytený na ktorejkoľvek strane v priebehu sekúnd ukáže, na ktorú z dvoch sa pozeráte.
Druhá otázka: je vnútri už tunel
L2TP je historický protipríklad, ktorý to ukazuje. Služba prenáša PPP vnútri relácie L2TP a IPsec chráni túto výmenu; usporiadanie predpisuje transportný režim, pričom tunelový režim je povolený ako voľba. Viditeľným výsledkom je tunel na úrovni služby, ktorého vonkajšia ochrana používa transportný režim.
Takže prítomnosť slova tunel v opise produktu nehovorí nič o režime vrstvy pod ním. Zapíšte, ktorá otázka to vyriešila, pretože ďalší recenzent sa spýta to isté. Čítajte špecifikáciu pre túto kombináciu, namiesto toho, aby ste uvažovali z názvu, pretože tento zvyk zabráni väčšine sporov o tom, čo má produkt podporovať.
Tretia otázka: čo vyžaduje strana
Dve strany sa musia dohodnúť, a návrh, ktorý ponúka jeden režim, kým druhá vyžaduje druhý, zlyhá počas rokovania, namiesto toho, aby ticho degradoval. Spýtajte sa vlastníka vzdialeného konca, ktorý režim politika uvádza, a skontrolujte návrh, nie zhrnutie dokumentácie.
Zmiešané prostredia sú bežné: jedna brána ukončuje relácie v transportnom režime pre starší produkt a relácie v tunelovom režime pre prepojenie lokalít. Režim je pre každú asociáciu, nie pre zariadenie. Žiadajte zoznam asociácií, nie názov funkcie, pretože názov cestuje rýchlejšie ako konfigurácia.
Čítanie existujúcej asociácie
Pre recenziu vypíšte strany, režim, selektory a protokol ďalšej vrstvy a potom pridajte akékoľvek zapuzdrenie obalené okolo výsledku. Preklad adries pridáva svoj vlastný vonkajší pohľad a nie je režimom; preložený tok môže byť stále ktorýkoľvek z dvoch. Zoznam je jediný artefakt, ktorý ukazuje asociáciu tak, ako je nainštalovaná, a nie tak, ako bola zamýšľaná.
Skončite otázkou smerovania a autorizácie, pretože správne usporiadanie paketu nehovorí nič o tom, ktoré podsiete sú povolené alebo či existuje cesta späť. Tie žijú v politike a v smerovacej tabuľke, a ani jedno nemení argument o režime.