AH yoki ESP? Paket nimani himoya qilishi kerakligidan kelib chiqib qaror qiling

Ikkita IPsec taklifi bir xil SHA asosidagi yaxlitlik algoritmini ko rsatib, baribir turli himoya protokollarini talab qilishi mumkin; AH va ESP bitta autentifikatsiya sozlamasining ikki yozilishi emas. Avval protokolni, keyin uning algoritmlarini, keyin rejimini o qing, va noaniqlikning katta qismi yo qoladi. AH paketni, yo lda o zgarmaydigan IP sarlavha maydonlari bilan birga autentifikatsiya qiladi, ESP esa o z ichiga olgan narsani autentifikatsiya qiladi va shifrlaydi, tashqi sarlavhani esa tegmaydi. Aynan shu farq har qanday hash nomidan ko ra ko proq joriy etishni hal qiladi.

AH nimani qoplaydi, ESP esa yo q

AH yaxlitlik, malumot manbasini autentifikatsiya qilish va o zi belgilagan takrorlanishga qarshi xizmatni beradi, va hech qanday maxfiylik bermaydi. Uning qamrovi yuqori qatlam malumotlarini va qoidalari o zgarmas deb hisoblaydigan IP sarlavha maydonlarini o z ichiga oladi, yani ESP transport rejimida tashqarida qoldiradigan qismni. Talab IP sarlavhasining o zini autentifikatsiya qilishni aytsa, unga javob beradigan protokol AH.

Bu qamrov AH amalda nimaga mo rt bolishining sababi ham. TTL, sarlavha nazorat summasi va bazi variantlar kabi o zgaruvchan maydonlarni autentifikatsiya qilib bolmaydi, chunki marshrutizatorlar ularni qayta yozishi mumkin, shuning uchun protokol tekshiruvni hisoblashdan oldin ularni nolga keltiradi. Shu sababli manzillarni qayta yozadigan har qanday narsa nafaqat siyosatni, balki hisobni ham buzadi.

NAT tanlovni cheklovga aylantiradi

Manzil tarjimasi AH hozir autentifikatsiya qilgan IP sarlavhasidagi manba yoki manzilni qayta yozadi, shuning uchun yaxlitlik tekshiruvi narigi tomonda muvaffaqiyatsiz boladi, va u o qiladigan xabar sifatida emas, protokol xatosi sifatida muvaffaqiyatsiz boladi. ESP tashqi sarlavhani autentifikatsiya qilmaydi, shu sababli NAT dan o tish bilan ESP ishlaydi, NAT orqasidagi AH esa ishlamaydi. Ikki tomoni oddiy marshrutizatorlar orqasida bolgan tunnel aynan shu narsa birinchi bolib korinadigan joy. Shuning uchun birinchi savol qaysi protokol kuchliroq ekani emas, balki tomonlar orasida tarjimon bor yo qligi.

Agar bolsa, AH chetga chiqadi, va suhbat ESP hamda uning algoritm tanloviga otadi. Bu afzallik emas, cheklov, shuning uchun uning orni qarorning oxirida emas, boshida.

Rejim savolni kopaytiradi

ESP transport rejimida yuqori qatlam yukini himoya qiladi va IP sarlavhasiga tegmaydi; tunnel rejimida butun ichki paketni, ichki IP sarlavhasi bilan birga, orab himoya qiladi. AH ham xuddi shu ikki rejimga ega, shuning uchun AH yoki ESP har qanday algoritm tanlanishidan oldin aslida tortta birikma.

Birlashgan rejimdagi ESP algoritmlari keyin yaxlitlikni ikkinchi protokolsiz hal qiladi. AES-GCM va ChaCha20-Poly1305 bir konstruksiyada autentifikatsiya qiladi va shifrlaydi, shuning uchun ustiga AH qoshish hech narsa sotib olmaydi, lekin yana bir sarlavha va yana bir muzokara talab qiladi. Arxitektura AH va ESP ni birga ruxsat etadi, va amaliy savol sizning shlyuzingiz va versiyangiz bu birikmani qollab-quvvatlaydimi va keyin kimdir uni saqlab turishi mumkinmi.

Faqat AH uchun halol orinbosar

Faqat yaxlitlik ESP varianti algoritmni saqlaydi va shifrlash davosini soxtalashtirish orniga undan voz kechadi, va NAT dan otadi. Agar eski dizayn maxfiyliksiz autentifikatsiya kerak bolgani uchun AH ishlatgan bolsa, osha variant togri vaqtda tarjima, izohi bilan shifrlangan tunnel emas.

Taklifda ESP korish ham shifrlashning dalili emas. Shifrlash algoritmini oqing: NULL yozuvi faqat yaxlitlikni, birlashgan rejim yozuvi ikkalasini bildiradi.

Uch savol bilan qaror qiling

Maxfiylik kerakmi, yolda tarjimon bormi, va qaysi sarlavha maydonlari autentifikatsiya qilinishi kerak deb sorang. Bu uch javob bitta protokol va bitta rejimga ishora qiladi, va ularni yozib qoyish keyin RFC larni qayta oqishdan kam vaqt oladi.

Keyin taklif qilinganini emas, qabul qilinganini tekshiring. ip xfrm state ornatilgan assotsiatsiyaning protokoli, rejimi va algoritmlarini korsatadi, va nomuvofiqlik hech narsa ornatmaydi, bu esa kozda tutilgan himoyasiz kotarilgan tunneldan tozaroq muvaffaqiyatsizlik.

Autentifikatsiya xatolarini, selektorlar qamrovini va marshrutlash xatolarini bu tanlovdan alohida saqlang. Ular turli belgilar beradi, va selektor muammosi uchun protokolni ayblash sababsiz hash almashtirib bir kun otkazishning ishonchli yoli.