IPsec kati ya wahudumu wawili: ulinzi unaanzia wapi na kuishia wapi

Ulinzi kwenye jozi ya wahudumu unaanza pale muungano wa usalama unapoishia, na hilo ni ukweli ambao hisi iliyoundwa na malango huukosa mara nyingi. Seva ya programu na seva yake ya hifadhidata zinaweza kulinda mazungumzo yao wenyewe moja kwa moja, bila kituo chochote cha ufikiaji wa mbali kwenye njia, na mpaka wa ulinzi kisha unakaa ndani ya kila mhudumu badala ya kwenye firewall. Kinachopatikana ni ufunikaji kutoka mwisho hadi mwisho kwa mitiririko iliyochaguliwa. Kisichopatikana ni uamuzi kuhusu nani anaweza kusoma safu ipi.

Mpaka ni pale SA inapoishia

RFC 4301 inaeleza miungano ya usalama katika hali ya usafirishaji kama mpangilio unaotumiwa kwa kawaida kati ya jozi ya wahudumu kwa ulinzi kutoka mwisho hadi mwisho. Hawa wahudumu wawili wanashikilia funguo, na kila mmoja huamua ni pakiti zipi zake mwenyewe zinazoingia kwenye muungano. Handaki la lango huishia mahali pengine kabisa na kumfikia mhudumu kupitia sehemu ya ndani ya ziada, ambayo ni mpaka mwingine wa uaminifu hata pale pakiti inaposimbwa kwa sehemu kubwa ya safari yake.

Mhudumu-kwa-mhudumu na hali ya usafirishaji si visawe, hata hivyo. Wahudumu wawili wanaweza kwa usahihi sawa kujenga muungano wa hali ya handaki kati yao, kwa hiyo chagua kwanza hali kisha ueleze ncha za mwisho. Andika zote mbili kwenye kidokezo cha usanifu kando ya anwani za wenza, kwa sababu mhakiki anayejua hali tu atadhani nyingine.

SPD huamua ulinzi, njia huamua mwelekeo

Jedwali la uelekezaji hujibu pakiti inakwenda wapi. Hifadhidata ya sera ya usalama hujibu jinsi trafiki iliyochaguliwa inavyovuka mpaka wa ulinzi, na hufanya hivyo kwa kila mwelekeo na vichaguzi vyake mwenyewe. Mgawanyo huo ndio sababu njia inayofanya kazi hadi hifadhidata haithibitishi chochote kuhusu kama ombi lililindwa, na ndio sababu mazungumzo yaliyoanzishwa hayathibitishi chochote kuhusu kama programu hii mahususi ililingana nayo. Linganisha vichaguzi kabla ya kulinganisha vihesabio, kwa sababu vihesabio vinaeleza tu mitiririko iliyofika mbali hivyo.

Kwenye Linux, ip xfrm policy huchapisha maingizo hayo pamoja na mwelekeo, kipaumbele, kichaguzi na kitendo cha kuruhusu, kuzuia au kunasa, ilhali ip xfrm state huonyesha miungano inayotokana na vihesabio vyake. Kusoma vyote viwili pamoja ndio njia ya kupata mtiririko uliokwepa handaki kimya kwa sababu ingizo pana zaidi la kuruhusu lililingana kwanza.

Mpangilio wa kipaumbele ni sehemu ya sera, si maelezo ya utekelezaji. Ingizo finyu ambalo linapaswa kulinda lango la hifadhidata hushindwa na ingizo pana zaidi lenye kipaumbele cha juu, na hitilafu inaonekana kana kwamba sera haikushauriwa kamwe.

Hali ya usafirishaji inashughulikia safu inayofuata, si kichwa cha IP

Katika hali ya usafirishaji kichwa cha ESP kinakaa kati ya kichwa cha IP na mzigo, na sehemu za anwani za kichwa hicho hubaki zinaonekana kwa kila kifaa kilicho njiani. Hilo ni sawa pale anwani si siri na mzigo ndio siri. Ni chaguo lisilofaa ikiwa unahitaji pia kuficha topolojia ya ndani, kwa sababu hali ya handaki pekee ndiyo hufunga kichwa asilia ndani ya kipya.

Hali zote mbili zinaweza kubeba itifaki kadhaa za safu inayofuata, na ESP italinda kile kichaguzi kinacholingana nacho badala ya kila kitu mhudumu anachotuma.

Uteuzi ni mwembamba kuliko muunganisho

Muungano mmoja unaweza kubeba mitiririko kadhaa, lakini ni ile tu ambayo sera inaichagua. Rekodi vitambulisho vya wenza, anwani za chanzo na lengwa, itifaki na wigo wa huduma kwa uhusiano unaoukusudia, kisha amua kwa tofauti ikiwa trafiki isiyolingana inaweza kwenda wazi, lazima ilindwe, au lazima itupwe pale muungano haupatikani. Uamuzi huo wa mwisho ndio unaozalisha mshangao, kwa sababu kanuni inayodai ulinzi kwa chanzo kisichofaa inaweza kuzuia ufikiaji wako wa usimamizi kwa ufanisi sawa na inavyomzuia mvamizi.

Shikilia njia iliyoidhinishwa ya nje ya mkanda wakati unabadilisha utekelezaji, na ijaribu kabla ya kuihitaji badala ya baada ya wahudumu wote wawili kuwa haifikiki.

Utambulisho wa mashine si ruhusa ya programu

IPsec huthibitisha mwenza aliyesanidiwa na kulinda pakiti zilizochaguliwa. Haiamui rekodi ipi ya hifadhidata mtu anaweza kuhariri, na haigeuzi utambulisho wa seva unaoaminika kuwa utoaji wa kila upendeleo wa programu. Akaunti, majukumu na uidhinishaji wa programu hubaki mahali pake hasa, na hitaji la TLS la ngazi ya programu huhifadhi madhumuni yake hata pale njia ya mtandao ikiwa tayari imelindwa.

Kubali usanifu huo kwa operesheni moja kutoka chanzo kinachokusudiwa na moja ambayo lazima ikataliwe, na ujumuishe kinachotokea pale muungano unaohitajika hauwezi kuanzishwa. Jaribio la kawaida la ufikikaji hukujulisha kwamba pakiti zinasonga; hakukujulishi kwamba zilisonga chini ya sera uliyoandika.