IPsec sa pagitan ng dalawang host: saan nagsisimula at nagtatapos ang proteksyon

Ang proteksyon sa isang pares ng host ay nagsisimula kung saan nagtatapos ang asosasyon ng seguridad, at iyon ang katotohanang madalas na hindi napapansin ng intuwisyong hinubog ng gateway. Ang isang server ng aplikasyon at ang server ng database nito ay maaaring direktang protektahan ang sarili nilang usapan, nang walang anumang concentrator ng malayong pag-access sa landas, at ang hangganan ng proteksyon ay nasa loob ng bawat host sa halip na sa isang firewall. Ang naibibigay nito ay saklaw mula dulo hanggang dulo para sa mga piling daloy. Ang hindi naibibigay nito ay isang desisyon kung sino ang maaaring bumasa ng aling hilera.

Ang hangganan ay kung saan nagtatapos ang SA

Inilalarawan ng RFC 4301 ang mga asosasyon ng seguridad sa mode ng transportasyon bilang kaayusang karaniwang ginagamit sa pagitan ng isang pares ng host para sa proteksyon mula dulo hanggang dulo. Hawak ng dalawang host na iyon ang mga susi, at bawat isa ay nagpapasya kung alin sa sarili nitong mga pakete ang papasok sa asosasyon. Ang isang tunnel ng gateway ay nagtatapos sa ganap na ibang lugar at naaabot ang host sa pamamagitan ng karagdagang panloob na segment, na isang ibang hangganan ng tiwala kahit na naka-encrypt ang pakete sa malaking bahagi ng paglalakbay nito.

Ang host-sa-host at mode ng transportasyon ay hindi magkasingkahulugan. Ang dalawang host ay maaaring kasing-tama na bumuo ng asosasyong nasa mode ng tunnel sa pagitan nila, kaya piliin muna ang mode at pagkatapos ilarawan ang mga dulo. Isulat ang dalawa sa tala ng disenyo sa tabi ng mga address ng peer, dahil ipagpapalagay ng tagasuri na alam lamang ang mode ang isa pa.

Ang SPD ang nagpapasya sa proteksyon, ang ruta ang nagpapasya sa direksyon

Ang talahanayan ng ruta ay sumasagot sa kung saan pupunta ang isang pakete. Ang database ng patakaran ng seguridad ay sumasagot sa kung paano tumatawid ang piling trapiko sa hangganan ng proteksyon, at ginagawa ito sa bawat direksyon sa sarili nitong mga selektor. Ang paghahating iyon ang dahilan kung bakit walang pinapatunayan ang isang gumaganang ruta patungo sa database tungkol sa kung protektado ang kahilingan, at kung bakit walang pinapatunayan ang isang naitatag na negosasyon tungkol sa kung tumugma rito ang partikular na aplikasyong ito. Ihambing ang mga selektor bago ihambing ang mga counter, dahil inilalarawan lamang ng mga counter ang mga daloy na nakarating nang ganoon kalayo.

Sa Linux, ipiniprint ng ip xfrm policy ang mga entry na iyon kasama ang direksyon, priyoridad, selektor at aksyon nitong payagan, harangan o bitag, samantalang ipinapakita ng ip xfrm state ang mga resultang asosasyon at ang kanilang mga counter. Ang pagbabasa ng dalawa nang magkasama ang paraan upang mahanap ang daloy na tahimik na lumihis sa tunnel dahil nauna ang isang mas malawak na entry ng pagpayag.

Ang pagkakasunod-sunod ng priyoridad ay bahagi ng patakaran, hindi detalye ng implementasyon. Ang makitid na entry na dapat magprotekta sa port ng database ay natatalo ng mas malawak na entry na may mas mataas na priyoridad, at ang kabiguan ay mukhang hindi kailanman kinonsulta ang patakaran.

Sinasaklaw ng mode ng transportasyon ang susunod na layer, hindi ang header ng IP

Sa mode ng transportasyon, ang header ng ESP ay nasa pagitan ng header ng IP at ng payload, at ang mga field ng address ng header na iyon ay nananatiling nakikita ng bawat device sa landas. Iyon ay maayos kapag ang mga address ay hindi ang sikreto at ang payload ang sikreto. Iyon ay maling pagpili kung kailangan mo ring itago ang panloob na topolohiya, dahil ang mode ng tunnel lamang ang bumabalot sa orihinal na header sa loob ng bago.

Ang parehong mode ay maaaring magdala ng ilang protocol ng susunod na layer, at poprotektahan ng ESP ang tumutugma sa selektor sa halip na lahat ng ipinapadala ng host.

Ang pagpili ay mas makitid kaysa sa koneksyon

Ang isang asosasyon ay maaaring magdala ng maraming daloy, ngunit ang mga pinipili lamang ng patakaran. Itala ang mga pagkakakilanlan ng peer, ang mga address ng pinagmulan at patutunguhan, ang protocol at saklaw ng serbisyo para sa relasyong nilalayon mo, pagkatapos ay magpasyang hiwalay kung ang trapikong hindi tumutugma ay maaaring dumaan nang hayag, dapat protektahan, o dapat itapon kapag hindi available ang asosasyon. Ang huling desisyong iyon ang lumilikha ng mga sorpresa, dahil ang isang tuntuning nag-aatas ng proteksyon para sa maling pinagmulan ay maaaring harangan ang sarili mong pag-access sa pamamahala nang kasing-bisa ng pagharang nito sa isang manloloob.

Panatilihin ang isang aprubadong landas sa labas ng banda habang binabago mo ang pagpapatupad, at subukan ito bago mo kailanganin sa halip na pagkatapos na maging hindi maabot ang dalawang host.

Ang pagkakakilanlan ng makina ay hindi pahintulot ng aplikasyon

Ina-authenticate ng IPsec ang isang naka-configure na peer at pinoprotektahan ang mga piling pakete. Hindi nito pinapasya kung aling talaan ng database ang maaaring i-edit ng isang tao, at hindi nito ginagawang pagbibigay ng lahat ng pribilehiyo ng aplikasyon ang isang pinagkakatiwalaang pagkakakilanlan ng server. Ang mga account, tungkulin at awtorisasyon ng aplikasyon ay nananatiling eksakto kung saan sila naroroon, at ang isang pangangailangan ng TLS sa antas ng aplikasyon ay pinapanatili ang sarili nitong layunin kahit na protektado na ang landas ng network.

Tanggapin ang disenyo na may isang operasyon mula sa nilalayong pinagmulan at isa na dapat tanggihan, at isama kung ano ang nangyayari kapag hindi maitatag ang kinakailangang asosasyon. Sinasabi sa iyo ng isang ordinaryong pagsubok ng maabot na gumagalaw ang mga pakete; hindi nito sinasabi na gumalaw ang mga ito sa ilalim ng patakarang isinulat mo.