|
ru.cisco
- RU.CISCO ---------------------------------------------------------------------
From : Victor Sudakov 2:5020/400 02 Jun 2003 14:44:56
To : Aleksey Loginov
Subject : Re: IPSec - наивный вопрос
--------------------------------------------------------------------------------
> <bb6gg2$2mdr$1@mpeks.tomsk.su> <bb7363$jsm$1@host.talk.ru>
> <bb803q$21qm$1@mpeks.tomsk.su> <bbesf5$6db$1@host.talk.ru>
From: Victor Sudakov <sudakov@sibptus.tomsk.ru>
Aleksey Loginov <lan@entel.kiev.ua> wrote:
> VS>> Если на интерфейс навесить крипто мап, то входящий трафик будет
> ^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^
> еще раз, внимательно!!!
>
> VS>> проверяться на соответствие крипто-ACL. Обязательно! И если
> VS>> пакеты удовлетворяют условиям ACL, но они не криптованы, то
> VS>> по будут тупо дропаться.
>
> VS> Даже если пакет пришел через интерфейс, на который не навешена
> крипто
> VS> мап (в смысле, она навешена на какой-то другой)? Как так может быть?
>
> Давай не будем путаться. Суть разговора была: что будет, если
> забыть повесить крипто мап на интерфейс? А поскольку вешать их
> нужно парами, то я написал, что будет, если _из_пары_ один мап не
> повесть...
Что значит парами? Для обмена данными узлы устанавливают два
однонаправленных соединения (SA). Как я понимаю, эти SA независимы
друг от друга. То есть вполне можно представить себе ситуацию, когда в
одну сторону трафик идет криптованный, а в обратную некриптованный.
Hо вопрос действительно не о том.
1. Если я повешу крипто мап на интерфейс s0, а трафик до пира уйдет
через s1, он уйдет некриптованный?
2. Если я повешу крипто мап на s0 и пакет уйдет через s0, а
a) некриптованный ответ от пира придет через s1, что станет с этим
некриптованным ответным пакетом? А если b) пакет от пира придет таки
криптованный, но не через s0 ?
Другими словами, все пакеты от пира проверяются на криптованность,
даже если они пришли через интерфейс, на котором нет крипто мап?
--
Victor Sudakov, VAS4-RIPE, VAS47-RIPN
2:5005/149@fidonet http://vas.tomsk.ru/
--- ifmail v.2.15dev5
* Origin: AO "Svyaztransneft", SibPTUS (2:5020/400)
Вернуться к списку тем, сортированных по: возрастание даты уменьшение даты тема автор
|
