Märk läget innan du jämför två VPN-paketdiagram

Två diagram kan båda vara korrekta och se olika ut, eftersom de kan beskriva olika paket. Ett förhandlingsmeddelande och ett applikationsdatapaket delar inte samma layout, inte ens inom en och samma session, och transportläge och tunnelläge gör det inte heller. Att jämföra teckningar utan att ange vilket paket och vilket läge varje representerar ger en diskussion om huvuden som aldrig borde ha stämt överens. Fyra etiketter avgör det innan jämförelsen börjar.

Skriv implementeringen och läget, kanalen, den yttre transporten och nyttolasten bredvid varje teckning.

Transportläge och tunnelläge flyttar huvudet olika

I transportläge sitter ESP efter IP-huvudet och före det transporterade protokollet, så det ursprungliga IP-huvudet stannar utanför skyddet. I tunnelläge adresserar ett nytt yttre IP-huvud de två IPsec-partnerna och det skyddade inre paketet behåller sitt eget IP-huvud. Båda är definierade i RFC 4303 och båda är korrekta för sitt läge. En förenklad skiss som utelämnar släpet och integritetsfälten är bra för placering och oanvändbar för att räkna byte.

Transport betyder inte specifikt TCP eller UDP. Det transporterade protokollet på nästa lager kan vara vad som helst, och ett diagram som likställer transportläge med ett enda protokoll har tyst lagt till ett antagande.

Kontrollmeddelanden är inte datameddelanden

L2TP håller två typer av meddelanden åtskilda: datameddelanden som bär PPP-ramar, och kontrollmeddelanden som sätter upp, underhåller och river tunneln och dess samtal. Kontrollkanalen är tillförlitlig, medan förlorade datameddelanden helt enkelt inte skickas om av L2TP. En teckning som innehåller PPP kan därför beskriva nyttolasten som ett datameddelande bär, inte ett huvud som varje skyddad session måste innehålla. Att kombinera L2TP med skydd lägger till den valda säkerhetsordningen ovanpå och gör inte alla meddelanden identiska.

Om ett diagram hävdar att båda typerna av meddelanden ser likadana ut, beskriver det ett annat protokoll eller en annan omfattning.

Jämför likvärdiga uppfångningspunkter

En uppfångning på det yttre gränssnittet visar skydds- och transporthuvudena; en inre uppfångning, tagen efter avkapsling, visar det transporterade paketet. Ingen av dem är fel, och att jämföra den ena med den andra får huvuden att se saknade eller dubblerade ut. UDP-inkapsling, som definieras för NAT-passage, lägger till ett ytterligare yttre lager som en teckning med nativ ESP inte kommer att ha. Båda teckningarna kan vara giltiga beskrivningar av olika transportordningar.

Ange uppfångningspunkten tillsammans med diagrammet och jämför likvärdiga meddelanden i likvärdiga lägen. Ett saknat huvud är bara bevis på ett fel när båda teckningarna hävdar samma punkt och samma pakettyp.

Behåll etiketterna vid teckningen

Ett diagram utan etiketter åldras snabbt, eftersom nästa läsare lägger till sina egna antaganden. Lägg till de fyra etiketterna, markera skyddsgränsen och notera om teckningen är för placering eller för dimensionering. Om den är för dimensionering, använd den fullständiga specifikationen i stället för en skiss. Kostnaden för etiketterna är en minut; kostnaden för diskussionen de förhindrar är en eftermiddag.

När två dokument inte stämmer överens, jämför först deras etiketter. En skillnad på läges- eller kanalnivå förklarar skillnaden helt, och inget huvud saknas egentligen.

Notera vilket paket, vilket läge och vilken uppfångningspunkt teckningen visar. Den noteringen är diagrammets andra hälft.