Транспортни или тунелски режим: одлучите по пакету, а не по шеми
Транспорт и тунел описују шта се налази унутар ESP, а не да ли учествује домаћин или мрежни пролаз. Три питања одређују који је режим потребан неком распоређивању.
Шеме из уџбеника повезују транспортни режим са два домаћина, а тунелски режим са два мрежна пролаза, и то правило важи до првог распоређивања које га прекрши. Режим описује шта ESP пакет обавија, а не ко су стране. Мрежни пролаз може да заштити саобраћај у транспортном режиму, а пар домаћина може да користи тунелски режим ако тако изабере. Три питања одређују шта је потребно конкретном распоређивању.
Режим је распоред, а не топологија
У транспортном режиму ESP заглавље иде после IP заглавља и пре корисног терета следећег слоја, тако да изворно IP заглавље остаје споља и видљиво. У тунелском режиму заштићени садржај је цео IP пакет, а ново спољашње заглавље именује два IPsec партнера.
| Mode | What follows the outer IP header | Headers a capture shows |
|---|---|---|
| Transport | ESP, then the next-layer payload | One IP header |
| Tunnel | ESP, then a whole inner IP packet | Outer and inner headers |
Када се изабере поверљивост, заштићена област у тунелском режиму укључује то унутрашње IP заглавље, због чега снимак не може да открије праве крајње тачке без кључева. Спољашње заглавље остаје читљиво у оба случаја, и управо то уопште омогућава отклањање проблема.
Прво питање: шта је тачно унутар ESP
Погледајте пакет који апликација производи и питајте која га граница штити. Ако је одговор транспортни корисни терет између две већ исправне адресе, транспортни режим одговара без измишљања другог заглавља. Ако заштићеном садржају требају сопствене адресе, јер се праве крајње тачке разликују од партнера који носе саобраћај, посао обавља тунелски режим. Оба случаја постоје у истој организацији, због чега једна изјава политике ретко покрива све.
На то питање се може одговорити из снимка и табеле усмеравања. На њега се не може одговорити из цртежа који кутије назива клијентом и сервером. Снимак узет на било ком партнеру показује у неколико секунди на коју од две гледате.
Друго питање: да ли тунел већ постоји унутра
L2TP је историјски противпример који то показује. Услуга носи PPP унутар L2TP сесије, а IPsec штити ту размену; распоред прописује транспортни режим, уз тунелски режим дозвољен као опцију. Видљив резултат је тунел на нивоу услуге чија спољашња заштита користи транспортни режим.
Дакле, присуство речи тунел у опису производа не говори ништа о режиму слоја испод њега. Запишите које је питање то решило, јер ће следећи рецензент питати исто. Читајте спецификацију за ту комбинацију уместо да закључујете из имена, јер та навика спречава већину расправа о томе шта производ мора да подржава.
Треће питање: шта партнер захтева
Два партнера морају да се сложе, а предлог који нуди један режим док други захтева други пропада током преговора уместо да тихо деградира. Питајте власника удаљеног краја који режим политика именује и проверите предлог, а не резиме документације.
Мешовита окружења су уобичајена: један мрежни пролаз завршава сесије транспортног режима за стари производ и сесије тунелског режима за везу локације. Режим је по асоцијацији, не по уређају. Тражите списак асоцијација, а не назив функције, јер назив путује брже од конфигурације.
Читање постојеће асоцијације
За преглед наведите партнере, режим, селекторе и протокол следећег слоја, па додајте било какво инкапсулирање обавијено око резултата. Превод адреса додаје свој спољашњи поглед и није режим; преведени ток и даље може бити било који од два. Списак је једини артефакт који приказује асоцијацију онако како је инсталирана, а не како је замишљена.
Завршите питањем усмеравања и ауторизације, јер исправан распоред пакета не говори ништа о томе које су подмреже дозвољене или да ли постоји повратни пут. Они живе у политици и у табели усмеравања, и ниједно не мења аргумент о режиму.