Parang paghahatid o tunnel: magpasya sa pakete, hindi sa diagram
Ang paghahatid at tunnel ay naglalarawan kung ano ang nasa loob ng ESP, hindi kung may kasamang host o gateway. Tatlong tanong ang nagtatakda kung anong paraan ang kailangan ng isang paglalagay.
Ang mga diagram sa aklat ay nag-uugnay sa paraan ng paghahatid sa dalawang host at sa paraan ng tunnel sa dalawang gateway, at tumatagal ang tuntuning ito hanggang sa unang paglalagay na lumalabag dito. Inilalarawan ng paraan kung ano ang binabalot ng pakete ng ESP, hindi kung sino ang mga panig. Maaaring protektahan ng gateway ang trapiko sa paraan ng paghahatid, at maaaring gamitin ng pares ng host ang paraan ng tunnel kung pipiliin nila. Tatlong tanong ang nagtatakda kung ano ang kailangan ng isang partikular na paglalagay.
Ang paraan ay isang kaayusan, hindi kayarian ng ugnayan
Sa paraan ng paghahatid, ang header ng ESP ay dumarating pagkatapos ng header ng IP at bago ang payload ng susunod na suson, kaya nananatili sa labas at nakikita ang orihinal na header ng IP. Sa paraan ng tunnel, ang protektadong nilalaman ay isang buong pakete ng IP, at pinapangalanan ng bagong panlabas na header ang dalawang panig ng IPsec.
| Mode | What follows the outer IP header | Headers a capture shows |
|---|---|---|
| Transport | ESP, then the next-layer payload | One IP header |
| Tunnel | ESP, then a whole inner IP packet | Outer and inner headers |
Kapag pinili ang pagiging lihim, kasama sa protektadong rehiyon sa paraan ng tunnel ang panloob na header ng IP, kaya hindi masasabi ng anumang pagkuha ang tunay na mga dulo nang walang susi. Nananatiling nababasa ang panlabas na header sa dalawang kaso, at iyon ang nagpapangyari sa pag-aayos ng problema.
Unang tanong: ano ang eksaktong nasa loob ng ESP
Tingnan ang paketeng ginagawa ng aplikasyon at itanong kung aling hangganan ang nagpoprotekta dito. Kung ang sagot ay ang payload ng paghahatid sa pagitan ng dalawang address na tama na, umaangkop ang paraan ng paghahatid nang hindi kumatha ng pangalawang header. Kung kailangan ng protektadong nilalaman ang sarili nitong address, dahil naiiba ang tunay na mga dulo sa mga panig na nagdadala ng trapiko, ang paraan ng tunnel ang gumagawa ng gawain. Umiiral ang dalawang kaso sa iisang organisasyon, kaya bihirang masakop ng isang pahayag ng patakaran ang lahat.
Masasagot ang tanong na iyon mula sa isang pagkuha at sa isang talahanayan ng ruta. Hindi ito masasagot mula sa guhit na naglalagay ng tatak na kliyente at server sa mga kahon. Ipinapakita ng pagkuha sa alinmang panig sa loob ng mga segundo kung alin sa dalawa ang tinitingnan mo.
Ikalawang tanong: may tunnel na ba sa loob
L2TP ang makasaysayang kabaligtarang halimbawa na nagpapakita nito. Dinadala ng serbisyo ang PPP sa loob ng sesyon ng L2TP, at pinoprotektahan ng IPsec ang palitan na iyon; itinatakda ng kaayusan ang paraan ng paghahatid, na pinapayagan ang paraan ng tunnel bilang opsyon. Ang nakikitang resulta ay isang tunnel sa antas ng serbisyo na ang panlabas na proteksyon ay gumagamit ng paraan ng paghahatid.
Kaya ang pagkakaroon ng salitang tunnel sa paglalarawan ng produkto ay walang sinasabi tungkol sa paraan ng suson sa ilalim nito. Itala kung aling tanong ang nagpasya nito, dahil itatanong din ng susunod na tagasuri ang pareho. Basahin ang ispisipikasyon ng kombinasyong iyon sa halip na mangatwiran mula sa pangalan, dahil napipigilan ng ugaliing iyon ang karamihan ng pagtatalo tungkol sa dapat suportahan ng isang produkto.
Ikatlong tanong: ano ang kailangan ng panig
Kailangang magkasundo ang dalawang panig, at ang panukalang nag-aalok ng isang paraan habang hinihingi ng isa pa ang pangalawa ay nabibigo sa panahon ng negosasyon sa halip na mahinang tumahimik. Itanong sa may-ari ng malayong dulo kung aling paraan ang tinutukoy ng patakaran, at suriin ang panukala hindi ang buod ng dokumentasyon.
Karaniwan ang magkahalong kapaligiran: isang gateway ang nagtatapos ng mga sesyon ng paraan ng paghahatid para sa lumang produkto at mga sesyon ng paraan ng tunnel para sa ugnayan ng lugar. Ang paraan ay bawat asosasyon, hindi bawat aparato. Hilingin ang listahan ng mga asosasyon hindi ang pangalan ng tampok, dahil mas mabilis maglakbay ang pangalan kaysa sa konpigurasyon.
Pagbasa ng asosasyong umiiral
Para sa isang pagsusuri, ilista ang mga panig, ang paraan, ang mga tagapili at ang protokol ng susunod na suson, pagkatapos idagdag ang anumang pagbabalot na nakapalibot sa resulta. Ang pagsasalin ng address ay nagdaragdag ng sarili nitong panlabas na pananaw at hindi ito paraan; ang isinaling daloy ay maaari pa ring alinman sa dalawa. Ang listahan ang tanging artepakto na nagpapakita ng asosasyon ayon sa naikabit at hindi ayon sa nilayon.
Tapusin sa tanong ng ruta at pahintulot, dahil ang tamang kaayusan ng pakete ay walang sinasabi tungkol sa kung aling subnet ang pinapayagan o kung umiiral ang daan ng sagot. Ang mga iyon ay naninirahan sa patakaran at sa talahanayan ng ruta, at wala sa dalawa ang nagbabago ng argumento tungkol sa paraan.