13.2.2.2. Транспортный и туннельный режимы

Заголовки AH и ESP поддерживают два режима использования: транспортный и туннельный. Суть этих двух режимов лучше всего понять в контексте описаний заголовков AH и ESP, о которых пойдет речь позже. Здесь же ограничимся кратким определением этих режимов.

Транспортный режим

Транспортный режим обеспечивает защиту для протоколов верхних уровней. Это значит, что защита транспортного режима распространяется на полезный груз пакета IP. Примерами могут быть сегменты TCP или UDP, размещающиеся в стеке протоколов хоста непосредственно над IP. Транспортный режим обеспечивает сквозную связь двух узлов (например, клиента и сервера).

ESP в транспортном режиме шифрует и, если нужно, аутентифицирует полезный груз IP, но не заголовок IP. AH в транспортном режиме предполагает аутентификацию полезного груза IP и некоторых частей заголовка IP.

Туннельный режим

Туннельный режим обеспечивает защиту всего пакета IP. Чтобы выполнить эту задачу, после добавления к пакету IP полей AH или ESP весь пакет вместе с полями защиты рассматривается как полезный груз некоторого нового «внешнего» пакета IP с новым внешним заголовком IP. Весь исходный (внутренний) пакет при этом пересылается через «туннель» от одной точки сети IP к другой, и ни один из маршрутизаторов на пути не может проверить внутренний заголовок IP. Поскольку пакет инкапсулирован в новый, больший пакет, этот новый пакет может иметь совершенно другие параметры источника и адресата, что, очевидно, усиливает защиту. Туннельный режим используется тогда, когда один или оба конца защищенной связи являются шлюзами защиты, например граничными маршрутизаторами, использующими IPSec. При использовании туннельного режима системы, размещенные за пределами транспортной IP-сети, могут осуществлять защищенный обмен данными без применения IPSec. Незащищенные пакеты, генерируемые такими системами, передаются по туннелям, проложенным через внешние сети с помощью защищенных связей в туннельном режиме, устанавливаемых программным обеспечением IPSec маршрутизатора на границе локальной сети.

Рассмотрим пример использования туннельного режима IPSec. Узел А сети генерирует пакет IP с адресом узла назначения В другой сети. Этот пакет направляется от создавшего пакет узла к маршрутизатору на границе сети А. Этот маршрутизатор выясняет, нужно ли пакет защищать с помощью IPSec. Если направляющийся от А в B через IP-сеть пакет требует применения IPSec, маршрутизатор на границе с сетью А выполняет функции IPSec и инкапсулирует этот IP-пакет во внешний пакет IP. Адресом отправителя этого внешнего пакета будет данный граничный маршрутизатор, а адресом получателя – граничный маршрутизатор IP-сети и сети получателя В. Теперь пакет направляется этому граничному маршрутизатору, а промежуточные маршрутизаторы будут иметь дело только с внешним заголовком IP. В граничном маршрутизаторе сети узла B и IP-сети внешний заголовок IP удаляется, а внутренний пакет доставляется узлу B. ESP в туннельном режиме шифрует и, если нужно, аутентифицирует весь внутренний пакет IP, включая внутренний заголовок IP. АН в туннельном режиме аутентифицирует весь внутренний пакет IP и некоторые части внешнего заголовка IP. Таким образом, при туннельном режиме все задачи по обеспечению информационной безопасности ложатся на IP-сеть общего пользования.