AH apo ESP? Vendosni sipas asaj që paketa duhet të mbrojë

Dy propozime IPsec mund të përmendin të njëjtin algoritëm integriteti të bazuar në SHA dhe gjithsesi të kërkojnë protokolle të ndryshme mbrojtjeje; AH dhe ESP nuk janë dy shkrime të një konfigurimi vërtetimi. Lexoni së pari protokollin, pastaj algoritmet e tij, pastaj mënyrën e tij, dhe pjesa më e madhe e paqartësisë zhduket. AH vërteton paketën, duke përfshirë fushat e kokës IP që mbeten të pandryshuara gjatë rrugës, ndërsa ESP vërteton dhe kripton atë që inkapsulon dhe e lë kokën e jashtme të qetë. Ky ndryshim vendos për më shumë vendosje sesa çdo emër hash.

Çfarë mbulon AH dhe ESP jo

AH ofron integritet, vërtetim të origjinës së të dhënave dhe shërbimin anti-përsëritje që përcakton vetë, dhe asnjë konfidencialitet. Mbulimi i tij përfshin të dhënat e shtresës së sipërme dhe fushat e kokës IP që rregullat e tij i konsiderojnë të pandryshueshme, pikërisht pjesën që ESP në mënyrën transport e lë jashtë. Kur një kërkesë thotë se duhet vërtetuar vetë koka IP, AH është protokolli që i përgjigjet.

Ky mbulim është edhe arsyeja pse AH është i brishtë në praktikë. Fushat e ndryshueshme si TTL, shuma kontrolluese e kokës dhe disa opsione nuk mund të vërtetohen sepse ruterat mund t i rishkruajnë, prandaj protokolli i vendos në zero përpara se të llogarisë kontrollin. Prandaj çdo gjë që rishkruan adresat prish llogaritjen, jo vetëm politikën.

NAT e kthen zgjedhjen në kufizim

Përkthimi i adresave rishkruan burimin ose destinacionin në kokën IP që AH sapo vërtetoi, prandaj kontrolli i integritetit dështon në anën tjetër, dhe dështon si gabim protokolli dhe jo si një mesazh i lexueshëm. ESP nuk e vërteton kokën e jashtme, prandaj ESP me kalim përmes NAT funksionon dhe AH pas NAT jo. Tuneli ku të dyja anët ndodhen pas ruterave të zakonshëm është pikërisht vendi ku kjo shfaqet së pari. Prandaj pyetja e parë nuk është cili protokoll është më i fortë, por nëse ka një përkthyes midis anëve.

Nëse ka, AH mbetet jashtë, dhe biseda kalon te ESP dhe zgjedhjet e tij të algoritmit. Ky është kufizim dhe jo preferencë, prandaj vendi i tij është në krye të vendimit dhe jo në fund.

Mënyra e shumëfishon pyetjen

ESP në mënyrën transport mbron ngarkesën e shtresës së sipërme dhe e lë kokën IP të qetë; në mënyrën tunel inkapsulon të gjithë paketën e brendshme, duke përfshirë kokën IP të brendshme, dhe e mbron atë. AH ka të njëjtat dy mënyra, prandaj AH ose ESP janë në të vërtetë katër kombinime përpara se të zgjidhet çdo algoritëm.

Algoritmet ESP të mënyrës së kombinuar zgjidhin pastaj integritetin pa një protokoll të dytë. AES-GCM dhe ChaCha20-Poly1305 vërtetojnë dhe kriptojnë në një ndërtim të vetëm, prandaj shtimi i AH sipër nuk blen asgjë, por kushton një kokë tjetër dhe një negocim tjetër. Arkitektura lejon AH dhe ESP së bashku, dhe pyetja praktike është nëse porta dhe versioni juaj e mbështesin kombinimin dhe nëse dikush mund ta mirëmbajë më vonë.

Zëvendësimi i ndershëm për vetëm AH

Varianti ESP vetëm me integritet e mban algoritmin dhe e lë pretendimin e kriptimit në vend që ta falsifikojë, dhe kalon përmes NAT. Nëse një dizajn i vjetër përdorte AH sepse i duhej vërtetim pa konfidencialitet, ai variant është përkthimi i drejtpërdrejtë, dhe jo një tunel i kriptuar me një shënim bashkangjitur.

Të shohësh ESP në një propozim nuk është as provë kriptimi. Lexoni algoritmin e kriptimit: një zë NULL do të thotë vetëm integritet, dhe një zë i mënyrës së kombinuar do të thotë të dyja.

Vendosni në tre pyetje

Pyetni nëse kërkohet konfidencialitet, nëse ka një përkthyes në rrugë dhe cilat fusha të kokës duhet të vërtetohen. Këto tre përgjigje tregojnë një protokoll dhe një mënyrë, dhe shkrimi i tyre merr më pak kohë sesa rileximi i RFC më vonë.

Pastaj verifikoni atë që u pranua dhe jo atë që u propozua. ip xfrm state tregon protokollin, mënyrën dhe algoritmet e asociimit të instaluar, dhe një mospërputhje nuk instalon asgjë, që është një dështim më i pastër sesa një tunel që ngrihet pa mbrojtjen e synuar.

Mbani dështimet e vërtetimit, mbulimin e selektorëve dhe gabimet e rrugëtimit të ndara nga kjo zgjedhje. Ato japin simptoma të ndryshme, dhe fajësimi i protokollit për një problem selektori është një mënyrë e sigurt për të kaluar një ditë duke ndryshuar hash pa arsye.