రెండు హోస్ట్‌ల మధ్య IPsec: రక్షణ ఎక్కడ మొదలై ఎక్కడ ఆగుతుంది
ఒక జత హోస్ట్‌లు గేట్‌వే లేకుండా ఎంచుకున్న ప్రవాహాలను రక్షించగలవు. చివరి బిందువులు, ట్రాఫిక్‌ను ఎంచుకునే విధానం, వేరుగా ఉండే అనుమతులను నిర్వచించండి.
హోస్ట్‌ల జతపై రక్షణ భద్రతా సంఘం ముగిసే చోటే మొదలవుతుంది, మరియు గేట్‌వే ఆకారపు అంతర్దృష్టి ఎక్కువగా మిస్ చేసే వాస్తవం అదే. ఒక అనువర్తన సర్వర్ మరియు దాని డేటాబేస్ సర్వర్ తమ సంభాషణను నేరుగా రక్షించుకోగలవు, మార్గంలో ఎటువంటి దూర ప్రాప్తి కేంద్రీకరణ లేకుండా, మరియు రక్షణ హద్దు అప్పుడు ఫైర్‌వాల్‌లో కాకుండా ప్రతి హోస్ట్ లోపల ఉంటుంది. ఇది ఎంచుకున్న ప్రవాహాలకు మొదటి నుండి చివరి వరకు కవరేజీ ఇస్తుంది. ఎవరు ఏ వరుస చదవగలరన్న నిర్ణయాన్ని ఇది ఇవ్వదు.
హద్దు SA ముగిసే చోటే
RFC 4301 రవాణా మోడ్‌లోని భద్రతా సంఘాలను హోస్ట్‌ల జత మధ్య మొదటి నుండి చివరి వరకు రక్షణ కోసం సాధారణంగా వాడే ఏర్పాటుగా వివరిస్తుంది. ఆ రెండు హోస్ట్‌లు కీలను ఉంచుకుంటాయి, ప్రతి ఒక్కటి తన స్వంత ఏ ప్యాకెట్‌లు సంఘంలోకి ప్రవేశిస్తాయో నిర్ణయిస్తుంది. ఒక గేట్‌వే సొరంగం పూర్తిగా వేరే చోట ముగుస్తుంది మరియు అదనపు అంతర్గత విభాగం ద్వారా హోస్ట్‌ను చేరుతుంది, ఇది వేరే విశ్వాస హద్దు, ప్యాకెట్ తన ప్రయాణంలో ఎక్కువ భాగం గుప్తీకరించబడినా.
హోస్ట్-నుండి-హోస్ట్ మరియు రవాణా మోడ్ అయినప్పటికీ పర్యాయపదాలు కావు. రెండు హోస్ట్‌లు పరస్పరం అదే స్థాయిలో సరిగ్గా సొరంగ మోడ్ సంఘాన్ని నిర్మించగలవు, కాబట్టి మొదట మోడ్‌ను ఎంచుకుని తర్వాత చివరి బిందువులను వివరించండి. రెండింటినీ డిజైన్ గమనికలో సహచరుల చిరునామాల పక్కన రాయండి, ఎందుకంటే మోడ్ మాత్రమే తెలిసిన సమీక్షకుడు మరొకటి ఊహిస్తాడు.
SPD రక్షణను, మార్గం దిశను నిర్ణయిస్తుంది
మార్గనిర్దేశ తాలూకా ప్యాకెట్ ఎక్కడికి వెళ్తుందో సమాధానమిస్తుంది. భద్రతా విధాన డేటాబేస్ ఎంచుకున్న ట్రాఫిక్ రక్షణ హద్దును ఎలా దాటుతుందో సమాధానమిస్తుంది, మరియు దాన్ని ప్రతి దిశకు తన స్వంత ఎంపికకారులతో చేస్తుంది. ఆ విభజనే కారణం, డేటాబేస్ వరకు పనిచేసే మార్గం అభ్యర్థన రక్షితంగా ఉందా అనే దానిపై ఏమీ నిరూపించదు, మరియు స్థాపించిన బేరసారం ఏమీ నిరూపించదు ఈ నిర్దిష్ట అనువర్తనం దానితో సరిపోలిందా అనే దానిపై. లెక్కకారులను పోల్చే ముందు ఎంపికకారులను పోల్చండి, ఎందుకంటే లెక్కకారులు అక్కడి వరకు చేరిన ప్రవాహాలను మాత్రమే వివరిస్తాయి.
Linux లో, ip xfrm policy ఆ నమోదులను వాటి దిశ, ప్రాధాన్యత, ఎంపికకారు మరియు అనుమతి, నిరోధం లేదా ఉచ్చు అనే చర్యతో ముద్రిస్తుంది, అదే సమయంలో ip xfrm state ఏర్పడిన సంఘాలను మరియు వాటి లెక్కకారులను చూపిస్తుంది. రెండింటినీ కలిపి చదవడమే, విస్తృత అనుమతి నమోదు మొదట సరిపోలినందున సొరంగాన్ని నిశ్శబ్దంగా దాటిన ప్రవాహాన్ని కనుగొనే మార్గం.
ప్రాధాన్యత క్రమం విధానంలో భాగం, అమలు వివరం కాదు. డేటాబేస్ పోర్టును రక్షించాల్సిన సన్నని నమోదు అధిక ప్రాధాన్యత ఉన్న విస్తృత నమోదు చేతిలో ఓడిపోతుంది, మరియు వైఫల్యం విధానాన్ని ఎప్పుడూ అడగలేదు అన్నట్లు కనిపిస్తుంది.
రవాణా మోడ్ తదుపరి పొరను కవర్ చేస్తుంది, IP శీర్షికను కాదు
| Transport mode | Tunnel mode | |
|---|---|---|
| Original IP header | kept for routing the flow | replaced by an outer header |
| What ESP protects | the carried next-layer payload | the whole inner IP packet |
| Where it terminates | commonly the two hosts | gateway pair, or a host pair |
రవాణా మోడ్‌లో ESP శీర్షిక IP శీర్షిక మరియు పేలోడ్ మధ్య కూర్చుంటుంది, ఆ శీర్షికలోని చిరునామా క్షేత్రాలు మార్గంలోని ప్రతి పరికరానికి కనిపిస్తూనే ఉంటాయి. చిరునామాలు రహస్యం కాకపోయి పేలోడ్ రహస్యమైతే ఇది బాగుంది. అంతర్గత టోపాలజీని కూడా దాచాల్సి వస్తే ఇది తప్పు ఎంపిక, ఎందుకంటే సొరంగ మోడ్ మాత్రమే అసలు శీర్షికను కొత్త దానిలో చుట్టుతుంది.
రెండు మోడ్‌లు తదుపరి పొరకు చెందిన అనేక ప్రోటోకాల్‌లను మోయగలవు, ESP ఎంపికకారుతో సరిపోలేదాన్ని రక్షిస్తుంది, హోస్ట్ పంపేదంతా కాదు.
ఎంపిక కనెక్షన్ కంటే సన్నగా ఉంటుంది
ఒక సంఘం అనేక ప్రవాహాలను మోయగలదు, కానీ విధానం ఎంచుకున్నవి మాత్రమే. సహచరుల గుర్తింపులు, మూల మరియు గమ్య చిరునామాలు, ప్రోటోకాల్ మరియు మీరు ఉద్దేశించిన సంబంధం యొక్క సేవా పరిధిని నమోదు చేయండి, తర్వాత సరిపోలని ట్రాఫిక్ బహిరంగంగా వెళ్లవచ్చా, రక్షించబడాలా, లేదా సంఘం అందుబాటులో లేనప్పుడు పడవేయాలా అనేది విడిగా నిర్ణయించండి. ఈ చివరి నిర్ణయమే ఆశ్చర్యాలను సృష్టిస్తుంది, ఎందుకంటే తప్పు మూలానికి రక్షణ కోరే నియమం మీ స్వంత నిర్వహణ ప్రాప్తిని చొరబడినవాడిని నిరోధించినంత సమర్థవంతంగా నిరోధించగలదు.
అమలును మారుస్తున్నప్పుడు ఆమోదించిన బ్యాండ్-వెలుపలి మార్గాన్ని ఉంచండి, రెండు హోస్ట్‌లు అందుబాటులో లేకుండా అయిన తర్వాత కాదు, అవసరం పడే ముందే దాన్ని పరీక్షించండి.
యంత్ర గుర్తింపు అనువర్తన అనుమతి కాదు
IPsec కాన్ఫిగర్ చేసిన సహచరుడిని ధృవీకరిస్తుంది మరియు ఎంచుకున్న ప్యాకెట్‌లను రక్షిస్తుంది. ఏ డేటాబేస్ నమోదును వ్యక్తి సవరించగలరో అది నిర్ణయించదు, మరియు విశ్వసనీయ సర్వర్ గుర్తింపును ప్రతి అనువర్తన ప్రత్యేకాధికారం ఇవ్వడంగా మార్చదు. అనువర్తన ఖాతాలు, పాత్రలు మరియు అధికారం ఉన్న చోటే ఉంటాయి, మరియు అనువర్తన స్థాయి TLS అవసరం నెట్‌వర్క్ మార్గం ఇప్పటికే రక్షితంగా ఉన్నా తన లక్ష్యాన్ని నిలుపుకుంటుంది.
రూపకల్పనను ఉద్దేశించిన మూలం నుండి ఒక చర్య మరియు తిరస్కరించాల్సిన ఒక చర్యతో అంగీకరించండి, అవసరమైన సంఘాన్ని స్థాపించలేనప్పుడు ఏమి జరుగుతుందో కూడా చేర్చండి. సాధారణ ప్రాప్తి పరీక్ష ప్యాకెట్‌లు కదులుతున్నాయని చెబుతుంది; అవి మీరు రాసిన విధానం కింద కదిలాయని చెప్పదు.