Chế độ vận chuyển hay đường hầm: quyết định theo gói tin, không theo sơ đồ
Vận chuyển và đường hầm mô tả thứ nằm bên trong ESP, không phải việc có một máy chủ hay cổng vào tham gia hay không. Ba câu hỏi xác định chế độ mà một triển khai cần.
Sơ đồ trong sách giáo khoa ghép chế độ vận chuyển với hai máy chủ và chế độ đường hầm với hai cổng vào, và quy tắc này đứng vững cho đến lần triển khai đầu tiên phá vỡ nó. Chế độ mô tả gói ESP bọc thứ gì, không phải ai là hai bên. Một cổng vào có thể bảo vệ lưu lượng ở chế độ vận chuyển, và một cặp máy chủ có thể dùng chế độ đường hầm nếu chọn như vậy. Ba câu hỏi xác định một triển khai cụ thể cần gì.
Chế độ là một cách bố trí, không phải cấu trúc liên kết
Ở chế độ vận chuyển, tiêu đề ESP đến sau tiêu đề IP và trước tải trọng của lớp kế tiếp, nên tiêu đề IP gốc ở bên ngoài và vẫn nhìn thấy được. Ở chế độ đường hầm, nội dung được bảo vệ là một gói IP hoàn chỉnh, và một tiêu đề ngoài mới đặt tên cho hai bên IPsec.
| Mode | What follows the outer IP header | Headers a capture shows |
|---|---|---|
| Transport | ESP, then the next-layer payload | One IP header |
| Tunnel | ESP, then a whole inner IP packet | Outer and inner headers |
Khi chọn tính bảo mật, vùng được bảo vệ ở chế độ đường hầm bao gồm cả tiêu đề IP bên trong đó, vì vậy một bản bắt gói không thể cho bạn biết điểm cuối thật khi không có khóa. Tiêu đề ngoài vẫn đọc được trong cả hai trường hợp, và chính điều đó khiến việc xử lý sự cố trở nên khả thi.
Câu hỏi thứ nhất: chính xác thứ gì nằm trong ESP
Hãy xem gói mà ứng dụng tạo ra và hỏi ranh giới nào bảo vệ nó. Nếu câu trả lời là tải trọng vận chuyển giữa hai địa chỉ đã đúng, chế độ vận chuyển phù hợp mà không cần phát minh tiêu đề thứ hai. Nếu nội dung được bảo vệ cần địa chỉ riêng, vì các điểm cuối thật khác với hai bên mang lưu lượng, thì chế độ đường hầm làm việc đó. Cả hai trường hợp cùng tồn tại trong một tổ chức, nên một phát biểu chính sách hiếm khi bao quát mọi thứ.
Câu hỏi đó có thể trả lời từ một bản bắt gói và một bảng định tuyến. Không thể trả lời từ một bản vẽ ghi nhãn các ô là máy khách và máy chủ. Một bản bắt gói lấy tại bên nào cũng cho thấy trong vài giây bạn đang nhìn cái nào trong hai.
Câu hỏi thứ hai: bên trong đã có đường hầm chưa
L2TP là phản ví dụ lịch sử cho thấy điểm này. Dịch vụ mang PPP bên trong một phiên L2TP, và IPsec bảo vệ trao đổi đó; cách bố trí chỉ định chế độ vận chuyển, với chế độ đường hầm được cho phép như một tùy chọn. Kết quả nhìn thấy là một đường hầm ở mức dịch vụ mà phần bảo vệ bên ngoài dùng chế độ vận chuyển.
Vì vậy sự có mặt của từ đường hầm trong mô tả sản phẩm không nói gì về chế độ của lớp bên dưới. Ghi lại câu hỏi nào đã quyết định điều đó, vì người đánh giá tiếp theo sẽ hỏi đúng như vậy. Hãy đọc đặc tả của tổ hợp đó thay vì suy luận từ cái tên, vì thói quen đó ngăn phần lớn tranh luận về việc sản phẩm phải hỗ trợ gì.
Câu hỏi thứ ba: bên kia yêu cầu gì
Hai bên phải đồng ý, và một đề xuất đưa ra một chế độ trong khi bên kia đòi chế độ thứ hai sẽ thất bại trong lúc thương lượng thay vì suy giảm âm thầm. Hỏi chủ sở hữu đầu xa xem chính sách đặt tên chế độ nào, và kiểm tra đề xuất thay vì bản tóm tắt tài liệu.
Môi trường hỗn hợp là phổ biến: một cổng vào kết thúc phiên chế độ vận chuyển cho một sản phẩm cũ và phiên chế độ đường hầm cho một liên kết site. Chế độ tính theo từng liên kết, không theo thiết bị. Hãy yêu cầu danh sách liên kết thay vì tên tính năng, vì cái tên đi nhanh hơn cấu hình.
Đọc liên kết đang tồn tại
Để đánh giá, hãy liệt kê các bên, chế độ, bộ chọn và giao thức của lớp kế tiếp, rồi thêm bất kỳ đóng gói nào bọc quanh kết quả. Dịch địa chỉ thêm góc nhìn bên ngoài của riêng nó và không phải là chế độ; một luồng đã dịch vẫn có thể là một trong hai. Danh sách là hiện vật duy nhất cho thấy liên kết đúng như khi được cài đặt chứ không phải như dự định.
Kết thúc bằng câu hỏi về định tuyến và phân quyền, vì một cách bố trí gói đúng không cho bạn biết subnet nào được phép hay đường phản hồi có tồn tại hay không. Những thứ đó sống trong chính sách và trong bảng định tuyến, và không cái nào thay đổi lập luận về chế độ.