Transport yoki tunnel rejimi: qarorni paket bo‘yicha bering, sxema bo‘yicha emas
Transport va tunnel ESP ichida nima borligini tavsiflaydi, xost yoki shlyuz ishtirok etishini emas. Uch savol joylashtirishga qaysi rejim kerakligini belgilaydi.
Darslik sxemalari transport rejimini ikki xostga, tunnel rejimini esa ikki shlyuzga bog‘laydi va bu qoida uni buzadigan birinchi joylashtirishgacha amal qiladi. Rejim ESP paketi nimani o‘raganini tavsiflaydi, tomonlar kim ekanini emas. Shlyuz transport rejimida trafikni himoya qilishi mumkin, xostlar jufti esa xohlasa tunnel rejimidan foydalanishi mumkin. Uch savol aniq joylashtirishga nima kerakligini belgilaydi.
Rejim tartib, topologiya emas
Transport rejimida ESP sarlavhasi IP sarlavhasidan keyin va keyingi qatlam yuklamasidan oldin keladi, shuning uchun asl IP sarlavhasi tashqarida va ko‘rinadigan bo‘lib qoladi. Tunnel rejimida himoyalangan tarkib to‘liq IP paket bo‘ladi va yangi tashqi sarlavha ikki IPsec tomonini nomlaydi.
| Mode | What follows the outer IP header | Headers a capture shows |
|---|---|---|
| Transport | ESP, then the next-layer payload | One IP header |
| Tunnel | ESP, then a whole inner IP packet | Outer and inner headers |
Maxfiylik tanlanganda tunnel rejimidagi himoyalangan hudud o‘sha ichki IP sarlavhasini ham qamrab oladi, shuning uchun hech qanday ushlash kalitlarsiz haqiqiy oxirgi nuqtalarni ayta olmaydi. Tashqi sarlavha ikkala holatda ham o‘qiladigan bo‘lib qoladi va aynan shu nosozliklarni bartaraf etishni umuman imkonli qiladi.
Birinchi savol: ESP ichida aniq nima bor
Ilova yaratadigan paketga qarang va qaysi chegara uni himoya qilishini so‘rang. Agar javob allaqachon to‘g‘ri bo‘lgan ikki manzil orasidagi transport yuklamasi bo‘lsa, transport rejimi ikkinchi sarlavhani o‘ylab topmasdan mos keladi. Agar himoyalangan tarkibga o‘z manzillari kerak bo‘lsa, chunki haqiqiy oxirgi nuqtalar trafikni tashiyotgan tomonlardan farq qilsa, ishni tunnel rejimi bajaradi. Ikkala holat ham bitta tashkilotda mavjud, shuning uchun bitta siyosat bayonoti kamdan-kam hamma narsani qamrab oladi.
Bu savolga ushlash va marshrutlash jadvali asosida javob berish mumkin. Qutilarni mijoz va server deb ataydigan chizmadan javob berish mumkin emas. Har qaysi tomonda olingan ushlash siz ikki narsadan qaysinisini ko‘rayotganingizni soniyalar ichida ko‘rsatadi.
Ikkinchi savol: ichida tunnel allaqachon bormi
L2TP — bu fikrni ko‘rsatadigan tarixiy qarama-qarshi misol. Xizmat L2TP sessiyasi ichida PPP tashiydi va IPsec o‘sha almashinuvni himoya qiladi; tartib transport rejimini belgilaydi, tunnel rejimiga esa variant sifatida ruxsat beriladi. Ko‘rinadigan natija — xizmat darajasidagi tunnel, uning tashqi himoyasi transport rejimidan foydalanadi.
Demak, mahsulot tavsifida tunnel so‘zining borligi uning ostidagi qatlam rejimi haqida hech narsa demaydi. Qaysi savol buni hal qilganini yozib qo‘ying, chunki keyingi taqrizchi ham xuddi shuni so‘raydi. Nomdan fikr yuritish o‘rniga o‘sha birikmaning spetsifikatsiyasini o‘qing, chunki bu odat mahsulot nimani qo‘llab-quvvatlashi kerakligi haqidagi bahslarning ko‘pini oldini oladi.
Uchinchi savol: tomon nima talab qiladi
Ikki tomon kelishishi kerak, bir rejimni taklif qilib, ikkinchi tomon ikkinchisini talab qiladigan taklif muzokaralar davomida muvaffaqiyatsizlikka uchraydi, jimgina yomonlashmaydi. Uzoq uchning egasidan siyosat qaysi rejimni nomlashini so‘rang va hujjat xulosasini emas, taklifni tekshiring.
Aralash muhitlar odatiy: bitta shlyuz eski mahsulot uchun transport rejimi sessiyalarini va sayt aloqasi uchun tunnel rejimi sessiyalarini tugatadi. Rejim har bir assotsiatsiya uchun, qurilma uchun emas. Funksiya nomi o‘rniga assotsiatsiyalar ro‘yxatini so‘rang, chunki nom konfiguratsiyadan tezroq sayohat qiladi.
Mavjud assotsiatsiyani o‘qish
Ko‘rib chiqish uchun tomonlarni, rejimni, selektorlarni va keyingi qatlam protokolini sanab chiqing, so‘ng natija atrofida o‘ralgan har qanday inkapsulyatsiyani qo‘shing. Manzil tarjimasi o‘zining tashqi ko‘rinishini qo‘shadi va rejim emas; tarjima qilingan oqim hali ham ikkisidan biri bo‘lishi mumkin. Ro‘yxat assotsiatsiyani mo‘ljallanganidek emas, o‘rnatilganidek ko‘rsatadigan yagona artefaktdir.
Marshrutlash va ruxsat savoli bilan tugating, chunki to‘g‘ri paket tartibi qaysi quyi tarmoqlarga ruxsat borligi yoki javob yo‘li bor-yo‘qligini hech narsa demaydi. Ular siyosatda va marshrutlar jadvalida yashaydi va hech biri rejim haqidagi dalilni o‘zgartirmaydi.