Позначте режим, перш ніж порівнювати дві схеми пакета VPN

Дві схеми можуть бути обидві правильні й виглядати по-різному, бо можуть описувати різні пакети. Повідомлення узгодження й пакет даних застосунку не мають однакового розкладу навіть у межах однієї сесії, і транспортний режим з тунельним теж. Порівняння малюнків без зазначення, який пакет і який режим представляє кожен, породжує суперечку про заголовки, які ніколи не мали збігатися. Чотири позначки вирішують це до початку порівняння.

Запишіть реалізацію й режим, канал, зовнішній транспорт і перенесене корисне навантаження біля кожного малюнка.

Транспортний і тунельний режими зсувають заголовок по-різному

У транспортному режимі ESP стоїть після заголовка IP і перед перенесеним протоколом, тому початковий заголовок IP залишається поза захистом. У тунельному режимі новий зовнішній заголовок IP адресує двох партнерів IPsec, а захищений внутрішній пакет зберігає власний заголовок IP. Обидва визначені в RFC 4303 і обидва правильні для свого режиму. Спрощений начерк, що опускає трейлер і поля цілісності, годиться для розміщення й марний для підрахунку байтів.

Транспорт не означає саме TCP або UDP. Перенесений протокол наступного рівня може бути будь-яким, а схема, що прирівнює транспортний режим до одного протоколу, тихо додала припущення.

Керівні повідомлення — не повідомлення даних

L2TP розділяє два типи повідомлень: повідомлення даних, що переносять кадри PPP, і керівні повідомлення, які встановлюють, підтримують і розбирають тунель та його виклики. Керівний канал надійний, тоді як втрачені повідомлення даних L2TP просто не передає повторно. Тому малюнок із PPP може описувати корисне навантаження, яке несе повідомлення даних, а не заголовок, який має містити кожна захищена сесія. Поєднання L2TP із захистом додає обраний порядок безпеки зверху й не робить усі повідомлення однаковими.

Якщо схема стверджує, що обидва типи повідомлень виглядають однаково, вона описує інший протокол або інший обсяг.

Порівнюйте еквівалентні точки захоплення

Захоплення на зовнішньому інтерфейсі показує заголовки захисту й транспорту; внутрішнє захоплення, зроблене після декапсуляції, показує перенесений пакет. Жодне не є помилковим, а порівняння одного з іншим змушує заголовки виглядати відсутніми або продубльованими. Інкапсуляція UDP, як вона визначена для проходження NAT, додає ще один зовнішній шар, якого не буде на схемі з нативним ESP. Обидва малюнки можуть бути припустимими описами різних транспортних схем.

Зазначайте точку захоплення разом зі схемою й порівнюйте еквівалентні повідомлення в еквівалентних режимах. Відсутній заголовок — доказ несправності лише тоді, коли обидва малюнки заявляють ту саму точку й той самий тип пакета.

Тримайте позначки разом із малюнком

Схема без позначок швидко старіє, бо наступний читач додає власні припущення. Додайте чотири позначки, позначте межу захисту й зазначте, для розміщення чи для розрахунку розміру зроблено малюнок. Якщо для розрахунку, використовуйте повну специфікацію, а не начерк. Ціна позначок — хвилина; ціна суперечки, яку вони відвертають, — півдня.

Коли два документи розходяться, спершу порівняйте їхні позначки. Розбіжність на рівні режиму або каналу повністю пояснює різницю, і жоден заголовок насправді не відсутній.

Запишіть, який пакет, який режим і яку точку захоплення показує малюнок. Цей запис — друга половина схеми.