இரு ஹோஸ்ட்களுக்கு இடையே IPsec: பாதுகாப்பு எங்கு தொடங்கி எங்கு நிற்கிறது
ஒரு ஜோடி ஹோஸ்ட்கள் நுழைவாயில் இல்லாமல் தேர்ந்தெடுத்த ஓட்டங்களைப் பாதுகாக்க முடியும். முனைப்புள்ளிகள், போக்குவரத்தைத் தேர்ந்தெடுக்கும் கொள்கை மற்றும் தனித்து இருக்கும் அனுமதிகளை வரையறுக்கவும்.
ஹோஸ்ட் ஜோடியில் பாதுகாப்பு என்பது பாதுகாப்பு இணைப்பு முடிவடையும் இடத்தில் தொடங்குகிறது, மேலும் நுழைவாயில் வடிவ உள்ளுணர்வு அதிகம் தவறவிடுவது இந்த உண்மையையே. ஒரு பயன்பாட்டுச் சேவையகமும் அதன் தரவுத்தளச் சேவையகமும் தங்கள் உரையாடலை நேரடியாகப் பாதுகாக்க முடியும், பாதையில் எந்த தொலை அணுகல் மையமும் இல்லாமல், பாதுகாப்பு எல்லை அப்போது தீச்சுவரில் அல்லாமல் ஒவ்வொரு ஹோஸ்ட்டுக்குள்ளும் அமைகிறது. இது தேர்ந்தெடுத்த ஓட்டங்களுக்கு முதல் முதல் இறுதி வரை பாதுகாப்பைத் தருகிறது. யார் எந்த வரிசையைப் படிக்கலாம் என்ற முடிவை இது தரவில்லை.
எல்லை என்பது SA முடிவடையும் இடமே
RFC 4301 போக்குவரத்து முறையில் உள்ள பாதுகாப்பு இணைப்புகளை, ஹோஸ்ட் ஜோடிக்கு இடையே முதல் முதல் இறுதி வரை பாதுகாப்புக்காக பொதுவாகப் பயன்படுத்தப்படும் ஏற்பாடு என்று விவரிக்கிறது. அந்த இரு ஹோஸ்ட்களும் சாவிகளை வைத்திருக்கின்றன, ஒவ்வொன்றும் தன் சொந்த எந்தப் பொதிக்கைகள் இணைப்பில் நுழையும் என்பதைத் தீர்மானிக்கிறது. ஒரு நுழைவாயில் சுரங்கம் முற்றிலும் வேறொரு இடத்தில் முடிந்து கூடுதல் உள் பகுதி வழியாக ஹோஸ்ட்டை அடைகிறது, இது வேறொரு நம்பிக்கை எல்லை, பொதிக்கை அதன் பயணத்தின் பெரும்பகுதியில் மறையாக்கப்பட்டிருந்தாலும்.
ஹோஸ்ட்-க்கு-ஹோஸ்ட் மற்றும் போக்குவரத்து முறை இருப்பினும் ஒத்தசொற்கள் அல்ல. இரு ஹோஸ்ட்கள் தங்களுக்கிடையே அதே அளவு சரியாகச் சுரங்க முறை இணைப்பை உருவாக்க முடியும், எனவே முதலில் முறையைத் தேர்ந்தெடுத்து பின்னர் முனைப்புள்ளிகளை விவரிக்கவும். இரண்டையும் வடிவமைப்புக் குறிப்பில் இணையரின் முகவரிகளுக்கு அருகில் எழுதவும், ஏனெனில் முறையை மட்டும் அறிந்த மதிப்பாய்வாளர் மற்றதைக் கருதுவார்.
SPD பாதுகாப்பையும், பாதை திசையையும் தீர்மானிக்கிறது
வழிப்பாதை அட்டவணை பொதிக்கை எங்கு செல்கிறது என்பதைப் பதிலளிக்கிறது. பாதுகாப்புக் கொள்கைத் தரவுத்தளம், தேர்ந்தெடுத்த போக்குவரத்து பாதுகாப்பு எல்லையை எவ்வாறு கடக்கிறது என்பதைப் பதிலளிக்கிறது, அதை ஒவ்வொரு திசைக்கும் தன் சொந்தத் தேர்விகளுடன் செய்கிறது. அந்தப் பிரிவே காரணம், தரவுத்தளத்திற்கான இயங்கும் பாதை கோரிக்கை பாதுகாக்கப்பட்டதா என்பதில் எதையும் நிரூபிக்காது, மேலும் நிறுவப்பட்ட பேச்சுவார்த்தை எதையும் நிரூபிக்காது இந்தக் குறிப்பிட்ட பயன்பாடு அதனுடன் பொருந்தியதா என்பதில். எண்ணிகளை ஒப்பிடும் முன் தேர்விகளை ஒப்பிடுங்கள், ஏனெனில் எண்ணிகள் அங்கு வரை சென்ற ஓட்டங்களை மட்டுமே விவரிக்கின்றன.
Linux இல், ip xfrm policy அந்தப் பதிவுகளை அவற்றின் திசை, முன்னுரிமை, தேர்வி மற்றும் அனுமதி, தடை அல்லது பொறி என்ற செயலுடன் அச்சிடுகிறது, அதே வேளையில் ip xfrm state விளைந்த இணைப்புகளையும் அவற்றின் எண்ணிகளையும் காட்டுகிறது. இரண்டையும் சேர்த்துப் படிப்பதே ஒரு பரந்த அனுமதிப் பதிவு முதலில் பொருந்தியதால் சுரங்கத்தை அமைதியாகத் தவிர்த்த ஓட்டத்தைக் கண்டறியும் வழி.
முன்னுரிமை வரிசை கொள்கையின் பகுதி, செயலாக்க விவரம் அல்ல. தரவுத்தளத் துறையைப் பாதுகாக்க வேண்டிய குறுகிய பதிவு, அதிக முன்னுரிமை உள்ள பரந்த பதிவிடம் தோற்கிறது, தோல்வி கொள்கையை ஒருபோதும் கேட்கவே இல்லை என்பது போல் தெரிகிறது.
போக்குவரத்து முறை அடுத்த அடுக்கை மூடுகிறது, IP தலைப்பை அல்ல
| Transport mode | Tunnel mode | |
|---|---|---|
| Original IP header | kept for routing the flow | replaced by an outer header |
| What ESP protects | the carried next-layer payload | the whole inner IP packet |
| Where it terminates | commonly the two hosts | gateway pair, or a host pair |
போக்குவரத்து முறையில் ESP தலைப்பு IP தலைப்புக்கும் ஏற்றத்திற்கும் இடையே அமைகிறது, அந்தத் தலைப்பின் முகவரிப் புலங்கள் பாதையில் உள்ள ஒவ்வொரு சாதனத்திற்கும் தெரியுமாறே இருக்கும். முகவரிகள் இரகசியம் இல்லாதபோதும் ஏற்றம் இரகசியமாக இருப்பதும் ஆகும். உள் அமைப்பியலையும் மறைக்க வேண்டுமானால் இது தவறான தேர்வு, ஏனெனில் சுரங்க முறை மட்டுமே அசல் தலைப்பைப் புதியதற்குள் சுருட்டுகிறது.
இரு முறைகளும் அடுத்த அடுக்கின் பல நெறிமுறைகளைக் கொண்டு செல்ல முடியும், ESP தேர்வியுடன் பொருந்துவதைப் பாதுகாக்கும், ஹோஸ்ட் அனுப்புவது அனைத்தையும் அல்ல.
தேர்வு இணைப்பை விடக் குறுகலானது
ஒரு இணைப்பு பல ஓட்டங்களைக் கொண்டு செல்ல முடியும், ஆனால் கொள்கை தேர்ந்தெடுப்பவற்றை மட்டுமே. இணையரின் அடையாளங்கள், மூல மற்றும் இலக்கு முகவரிகள், நெறிமுறை மற்றும் நீங்கள் கருதும் உறவின் சேவை வீச்சு ஆகியவற்றைப் பதிவு செய்யுங்கள், பின்னர் பொருந்தாத போக்குவரத்து வெளிப்படையாகச் செல்லலாமா, பாதுகாக்கப்பட வேண்டுமா, அல்லது இணைப்பு கிடைக்காதபோது வீசப்பட வேண்டுமா என்பதைத் தனியாகத் தீர்மானியுங்கள். இந்தக் கடைசி முடிவே ஆச்சரியங்களை உருவாக்குகிறது, ஏனெனில் தவறான மூலத்திற்குப் பாதுகாப்பைக் கோரும் விதி உங்கள் சொந்த நிர்வாக அணுகலை ஒரு ஊடுருவுபவரைத் தடுப்பது போலவே திறமையாகத் தடுக்கக்கூடும்.
செயலாக்கத்தை மாற்றும்போது அங்கீகரிக்கப்பட்ட பட்டை-வெளிப் பாதையை வைத்திருங்கள், இரு ஹோஸ்ட்களும் அணுக முடியாததாகிய பிறகு அல்ல, தேவைப்படும் முன் அதைச் சோதியுங்கள்.
இயந்திர அடையாளம் என்பது பயன்பாட்டு அனுமதி அல்ல
IPsec கட்டமைக்கப்பட்ட இணையரை அங்கீகரித்து தேர்ந்தெடுத்த பொதிக்கைகளைப் பாதுகாக்கிறது. எந்தத் தரவுத்தளப் பதிவை ஒரு நபர் திருத்தலாம் என்பதை அது தீர்மானிக்காது, நம்பகமான சேவையக அடையாளத்தை ஒவ்வொரு பயன்பாட்டுச் சலுகையின் வழங்கலாக மாற்றாது. பயன்பாட்டுக் கணக்குகள், பங்குகள் மற்றும் அனுமதி இருந்த இடத்திலேயே இருக்கும், பயன்பாட்டு மட்ட TLS தேவை வலையப் பாதை ஏற்கனவே பாதுகாக்கப்பட்டிருந்தாலும் தன் நோக்கத்தைத் தக்கவைத்துக்கொள்கிறது.
வடிவமைப்பை நோக்கமிட்ட மூலத்திலிருந்து ஒரு செயல்பாடு மற்றும் நிராகரிக்கப்பட வேண்டிய ஒரு செயல்பாடு ஆகியவற்றுடன் ஏற்றுக்கொள்ளுங்கள், தேவையான இணைப்பை நிறுவ முடியாதபோது என்ன நடக்கிறது என்பதையும் சேர்க்கவும். சாதாரண அணுகல் சோதனை பொதிக்கைகள் நகர்கின்றன என்று சொல்கிறது; அவை நீங்கள் எழுதிய கொள்கையின் கீழ் நகர்ந்தன என்று சொல்லவில்லை.