โหมดทรานสปอร์ตหรือโหมดอุโมงค์: ตัดสินจากแพ็กเก็ต ไม่ใช่จากแผนภาพ
ทรานสปอร์ตและอุโมงค์อธิบายว่ามีอะไรอยู่ภายใน ESP ไม่ใช่ว่ามีโฮสต์หรือเกตเวย์เกี่ยวข้องหรือไม่ สามคำถามกำหนดว่าโหมดใดที่การติดตั้งต้องการ
แผนภาพในตำราจับคู่โหมดทรานสปอร์ตกับสองโฮสต์และโหมดอุโมงค์กับสองเกตเวย์ และหลักง่าย ๆ นี้ใช้ได้จนถึงการติดตั้งครั้งแรกที่ทำให้มันใช้ไม่ได้ โหมดอธิบายว่าแพ็กเก็ต ESP ห่ออะไรไว้ ไม่ใช่ว่าใครคือคู่ปลายทาง เกตเวย์สามารถปกป้องทราฟฟิกในโหมดทรานสปอร์ตได้ และคู่โฮสต์สามารถใช้โหมดอุโมงค์ได้หากเลือกเช่นนั้น สามคำถามกำหนดว่าการติดตั้งเฉพาะหนึ่ง ๆ ต้องการอะไร
โหมดคือการจัดวาง ไม่ใช่โครงสร้างเชื่อมโยง
ในโหมดทรานสปอร์ต ส่วนหัว ESP อยู่หลังส่วนหัว IP และก่อนเพย์โหลดของชั้นถัดไป ส่วนหัว IP เดิมจึงอยู่ด้านนอกและมองเห็นได้ ในโหมดอุโมงค์ เนื้อหาที่ได้รับการปกป้องคือแพ็กเก็ต IP ทั้งหมด และส่วนหัวภายนอกใหม่ระบุชื่อคู่ IPsec ทั้งสอง
| Mode | What follows the outer IP header | Headers a capture shows |
|---|---|---|
| Transport | ESP, then the next-layer payload | One IP header |
| Tunnel | ESP, then a whole inner IP packet | Outer and inner headers |
เมื่อเลือกความลับ พื้นที่ที่ได้รับการปกป้องในโหมดอุโมงค์รวมส่วนหัว IP ภายในนั้นด้วย การดักจับจึงบอกจุดปลายจริงให้คุณไม่ได้หากไม่มีกุญแจ ส่วนหัวภายนอกยังอ่านได้ทั้งสองกรณี และนั่นคือสิ่งที่ทำให้การแก้ปัญหาทำได้เลย
คำถามข้อหนึ่ง: อะไรอยู่ภายใน ESP อย่างแน่นอน
ดูแพ็กเก็ตที่แอปพลิเคชันสร้างขึ้นแล้วถามว่าขอบเขตใดปกป้องมัน หากคำตอบคือเพย์โหลดทรานสปอร์ตระหว่างสองแอดเดรสที่ถูกต้องอยู่แล้ว โหมดทรานสปอร์ตก็เหมาะโดยไม่ต้องประดิษฐ์ส่วนหัวที่สอง หากเนื้อหาที่ได้รับการปกป้องต้องมีแอดเดรสของตัวเอง เพราะจุดปลายจริงต่างจากคู่ที่แบกทราฟฟิก โหมดอุโมงค์ก็ทำงานนั้น สองกรณีนี้มีอยู่ในองค์กรเดียวกัน จึงไม่ใช่เรื่องแปลกที่ข้อความนโยบายเดียวจะครอบคลุมทุกอย่างไม่ครบ
คำถามนั้นตอบได้จากการดักจับและตารางเส้นทาง ตอบจากภาพวาดที่ติดป้ายกล่องว่าไคลเอนต์และเซิร์ฟเวอร์ไม่ได้ การดักจับที่ทำที่คู่ปลายใด ๆ จะแสดงในไม่กี่วินาทีว่าคุณกำลังดูสิ่งใดในสองสิ่งนั้น
คำถามข้อสอง: มีอุโมงค์อยู่ข้างในแล้วหรือไม่
L2TP คือตัวอย่างย้อนแย้งทางประวัติศาสตร์ที่แสดงประเด็นนี้ บริการนี้บรรทุก PPP ภายในเซสชัน L2TP และ IPsec ปกป้องการแลกเปลี่ยนนั้น การจัดวางระบุโหมดทรานสปอร์ต โดยอนุญาตโหมดอุโมงค์เป็นตัวเลือก ผลลัพธ์ที่มองเห็นคืออุโมงค์ในระดับบริการซึ่งการปกป้องภายนอกใช้โหมดทรานสปอร์ต
ดังนั้นการปรากฏของคำว่าอุโมงค์ในคำอธิบายผลิตภัณฑ์ไม่ได้บอกอะไรเกี่ยวกับโหมดของชั้นที่อยู่ข้างใต้ บันทึกไว้ว่าคำถามใดตัดสินเรื่องนี้ เพราะผู้ตรวจสอบคนถัดไปจะถามเหมือนกัน อ่านข้อกำหนดของส่วนผสมนั้นแทนการให้เหตุผลจากชื่อ เพราะนิสัยนั้นป้องกันการโต้เถียงส่วนใหญ่เกี่ยวกับสิ่งที่ผลิตภัณฑ์ต้องรองรับ
คำถามข้อสาม: คู่ปลายต้องการอะไร
สองฝ่ายต้องตกลงกัน และข้อเสนอที่ให้โหมดหนึ่งในขณะที่อีกฝ่ายต้องการอีกโหมดจะล้มเหลวระหว่างการเจรจาแทนที่จะเสื่อมลงอย่างเงียบ ๆ ถามเจ้าของปลายไกลว่าแนวนโยบายระบุโหมดใด และตรวจข้อเสนอไม่ใช่บทสรุปของเอกสาร
สภาพแวดล้อมแบบผสมเป็นเรื่องปกติ เกตเวย์หนึ่งตัวสิ้นสุดเซสชันโหมดทรานสปอร์ตสำหรับผลิตภัณฑ์เก่าและเซสชันโหมดอุโมงค์สำหรับลิงก์ไซต์ โหมดเป็นรายความสัมพันธ์ ไม่ใช่รายอุปกรณ์ ขอรายการความสัมพันธ์แทนชื่อคุณสมบัติ เพราะชื่อเดินทางเร็วกว่าคอนฟิกูเรชัน
การอ่านความสัมพันธ์ที่มีอยู่
สำหรับการทบทวน ให้ระบุคู่ปลาย โหมด ตัวเลือก และโปรโตคอลของชั้นถัดไป แล้วเพิ่มการห่อหุ้มใด ๆ ที่พันรอบผลลัพธ์ การแปลแอดเดรสเพิ่มมุมมองภายนอกของตัวเองและไม่ใช่โหมด กระแสที่แปลแล้วยังเป็นอย่างใดอย่างหนึ่งในสองได้ รายการคือสิ่งเดียวที่แสดงความสัมพันธ์ตามที่ติดตั้งไว้ ไม่ใช่ตามที่ตั้งใจไว้
ปิดท้ายด้วยคำถามเรื่องเส้นทางและการอนุญาต เพราะการจัดวางแพ็กเก็ตที่ถูกต้องไม่ได้บอกอะไรเกี่ยวกับซับเน็ตที่อนุญาตหรือมีเส้นทางตอบกลับหรือไม่ สิ่งเหล่านั้นอยู่ในนโยบายและในตารางเส้นทาง และไม่มีสิ่งใดเปลี่ยนข้อโต้แย้งเรื่องโหมด