IPsec midis dy host-eve: ku fillon dhe ku ndalon mbrojtja

Mbrojtja në një çift host-esh fillon aty ku përfundon shoqata e sigurisë, dhe ky është fakti që shumica e intuitës së formësuar nga gateway-t e humb. Një server aplikacioni dhe serveri i tij i bazës së të dhënave mund ta mbrojnë bisedën e tyre drejtpërdrejt, pa asnjë koncentrator të aksesit në distancë në rrugë, dhe kufiri i mbrojtjes atëherë qëndron brenda secilit host sesa në një firewall. Ajo që ju sjell është mbulim nga fundi në fund për flukse të zgjedhura. Ajo që nuk ju sjell është një vendim se kush mund të lexojë cilin rresht.

Kufiri është aty ku përfundon SA-ja

RFC 4301 përshkruan shoqatat e sigurisë në modin transport si rregullimi që përdoret zakonisht midis një çifti host-esh për mbrojtje nga fundi në fund. Këto dy host-e mbajnë çelësat, dhe secili vendos se cilat nga paketat e tij hyjnë në shoqatë. Një tunel gateway përfundon diku tjetër krejtësisht dhe arrin host-in përmes një segmenti shtesë të brendshëm, që është një kufi tjetër besimi edhe kur paketa është e kriptuar për pjesën më të madhe të udhëtimit të saj.

Host-me-host dhe modi transport nuk janë sinonime, megjithatë. Dy host-e mund po aq saktë të ndërtojnë një shoqatë në modin tunel midis tyre, prandaj zgjidhni së pari modin dhe pastaj përshkruani pikat fundore. Shkruajini të dyja në shënimin e projektimit pranë adresave të homologut, sepse një recensues që njeh vetëm modin do të supozojë tjetrin.

SPD-ja vendos mbrojtjen, rruga vendos drejtimin

Një tabelë rrugëtimi përgjigjet se ku shkon një paketë. Baza e të dhënave e politikës së sigurisë përgjigjet se si trafiku i zgjedhur kalon kufirin e mbrojtjes, dhe e bën këtë për çdo drejtim me përzgjedhësit e vet. Kjo ndarje është arsyeja pse një rrugë funksionale drejt bazës së të dhënave nuk provon asgjë nëse kërkesa ishte e mbrojtur, dhe pse një negociim i vendosur nuk provon asgjë nëse ky aplikacion i veçantë përputhej me të. Krahasoni përzgjedhësit përpara se të krahasoni numëruesit, sepse numëruesit përshkruajnë vetëm flukset që arritën kaq larg.

Në Linux, ip xfrm policy i shtyp ato hyrje me drejtimin, prioritetin, përzgjedhësin dhe veprimin e tyre të lejimit, bllokimit ose kurthit, ndërsa ip xfrm state tregon shoqatat që rezultojnë dhe numëruesit e tyre. Leximi i të dyjave së bashku është mënyra për të gjetur fluksin që anashkaloi në heshtje tunelin, sepse një hyrje më e gjerë lejimi përputhej e para.

Renditja e prioriteteve është pjesë e politikës, jo një detaj implementimi. Një hyrje e ngushtë që duhet të mbrojë portën e bazës së të dhënave humbet ndaj një hyrjeje më të gjerë me prioritet më të lartë, dhe dështimi duket sikur politika nuk u konsultua kurrë.

Modi transport mbulon shtresën tjetër, jo kokën IP

Në modin transport, koka ESP qëndron midis kokës IP dhe ngarkesës, dhe fushat e adresave të asaj koke mbeten të dukshme për çdo pajisje në rrugë. Kjo është në rregull kur adresat nuk janë sekreti dhe ngarkesa është. Është zgjedhja e gabuar nëse ju duhet gjithashtu të fshihni topologjinë e brendshme, sepse vetëm modi tunel e mbështjell kokën origjinale brenda një të reje.

Të dy modet mund të mbajnë disa protokolle të shtresës tjetër, dhe ESP do të mbrojë atë që përputhet me përzgjedhësin, jo gjithçka që dërgon host-i.

Përzgjedhja është më e ngushtë se lidhja

Një shoqatë e vetme mund të mbajë flukse të shumta, por vetëm ato që politika i zgjedh. Regjistroni identitetet e homologut, adresat e burimit dhe të destinacionit, protokollin dhe shtrirjen e shërbimit për marrëdhënien që synoni, pastaj vendosni veçmas nëse trafiku që nuk përputhet mund të kalojë hapur, duhet të mbrohet, ose duhet të hidhet kur shoqata nuk është e disponueshme. Ky vendim i fundit është ai që prodhon surpriza, sepse një rregull që kërkon mbrojtje për burimin e gabuar mund të bllokojë aksesin tuaj të menaxhimit po aq me efikasitet sa bllokon një intrud.

Mbani një rrugë jashtë brezit të miratuar ndërsa ndryshoni zbatimin, dhe testojeni përpara se t’ju duhet, jo pasi të dy host-et të bëhen të paarritshëm.

Identiteti i makinës nuk është leje aplikacioni

IPsec vërteton një homolog të konfiguruar dhe mbron paketa të zgjedhura. Nuk vendos se cilin rekord të bazës së të dhënave një person mund të modifikojë, dhe nuk e kthen një identitet të besuar serveri në një dhënie të çdo privilegji aplikacioni. Llogaritë e aplikacioneve, rolet dhe autorizimi mbeten saktësisht aty ku ishin, dhe një kërkesë TLS në nivel aplikacioni mban qëllimin e vet edhe kur rruga e rrjetit është tashmë e mbrojtur.

Pranojeni projektin me një operacion nga burimi i synuar dhe një që duhet të refuzohet, dhe përfshini çfarë ndodh kur shoqata e kërkuar nuk mund të vendoset. Një test i zakonshëm arritshmërie ju tregon se paketat lëvizin; nuk ju tregon se ato lëvizën nën politikën që shkruat.