Način prenosa ali tunela: odločite se po paketu, ne po shemi
Prenos in tunel opisujeta, kaj je znotraj ESP, ne pa tega, ali je vključen gostitelj ali prehod. Tri vprašanja določijo, kateri način potrebuje uvedba.
Slike iz učbenikov povezujejo način prenosa z dvema gostiteljema in način tunela z dvema prehodoma, in to pravilo zdrži do prve uvedbe, ki ga prekrši. Način opisuje, kaj paket ESP ovija, ne pa tega, kdo so strani. Prehod lahko zaščiti promet v načinu prenosa, par gostiteljev pa lahko uporabi način tunela, če se tako odloči. Tri vprašanja določijo, kaj potrebuje konkretna uvedba.
Način je razporeditev, ne topologija
V načinu prenosa gre glava ESP za glavo IP in pred koristnim tovorom naslednje plasti, zato prvotna glava IP ostane zunaj in vidna. V načinu tunela je zaščitena vsebina cel paket IP, nova zunanja glava pa poimenuje oba partnerja IPsec.
| Mode | What follows the outer IP header | Headers a capture shows |
|---|---|---|
| Transport | ESP, then the next-layer payload | One IP header |
| Tunnel | ESP, then a whole inner IP packet | Outer and inner headers |
Ob izbrani zaupnosti zaščiteno območje v načinu tunela vključuje tisto notranjo glavo IP, zato posnetek brez ključev ne more povedati resničnih končnih točk. Zunanja glava ostane berljiva v obeh primerih, in prav to sploh omogoča odpravljanje težav.
Prvo vprašanje: kaj je natančno znotraj ESP
Poglejte paket, ki ga ustvari aplikacija, in vprašajte, katera meja ga ščiti. Če je odgovor tovor prenosa med dvema že pravilnima naslovoma, način prenosa ustreza brez izmišljanja druge glave. Če zaščitena vsebina potrebuje svoje naslove, ker se resnične končne točke razlikujejo od strani, ki nosijo promet, delo opravi način tunela. Oba primera obstajata v isti organizaciji, zato ena izjava o politikah redko pokrije vse.
Na to vprašanje je mogoče odgovoriti s posnetkom in usmerjevalno tabelo. Nanj ni mogoče odgovoriti z risbo, ki škatle imenuje odjemalec in strežnik. Posnetek, vzet na kateri koli strani, v nekaj sekundah pokaže, na katero od dveh gledate.
Drugo vprašanje: ali je znotraj že tunel
L2TP je zgodovinski protiprimer, ki to pokaže. Storitev prenaša PPP znotraj seje L2TP, IPsec pa ščiti to izmenjavo; razporeditev določa način prenosa, pri čemer je način tunela dovoljen kot možnost. Viden rezultat je tunel na ravni storitve, katerega zunanja zaščita uporablja način prenosa.
Torej beseda tunel v opisu izdelka ne pove ničesar o načinu plasti pod njim. Zapišite, katero vprašanje je to odločilo, ker bo naslednji pregledovalec vprašal isto. Berite specifikacijo za to kombinacijo, namesto da sklepate iz imena, saj ta navada prepreči večino razprav o tem, kaj mora izdelek podpirati.
Tretje vprašanje: kaj zahteva stran
Dve strani se morata dogovoriti, predlog, ki ponuja en način, medtem ko druga zahteva drugega, pa v pogajanjih propade, namesto da bi se tiho poslabšal. Vprašajte lastnika oddaljenega konca, kateri način navaja politika, in preverite predlog, ne povzetka dokumentacije.
Mešana okolja so pogosta: en prehod zaključuje seje načina prenosa za star izdelek in seje načina tunela za povezavo lokacije. Način velja za vsako povezavo, ne za napravo. Zahtevajte seznam povezav, ne imena funkcije, ker ime potuje hitreje kot konfiguracija.
Branje obstoječe povezave
Za pregled naštejte strani, način, selektorje in protokol naslednje plasti, nato dodajte kakršno koli ovijanje, ovito okoli rezultata. Prevajanje naslovov doda svoj zunanji pogled in ni način; prevedeni tok je lahko še vedno eden od dveh. Seznam je edini artefakt, ki prikaže povezavo, kot je nameščena, in ne kot je bila mišljena.
Končajte z vprašanjem usmerjanja in avtorizacije, ker pravilna razporeditev paketa ne pove ničesar o tem, katere podomrežja so dovoljena ali ali povratna pot obstaja. Ta živijo v politiki in v usmerjevalni tabeli, in nobeno od tega ne spremeni argumenta o načinu.