Waar jou werf se VPN eindig, bepaal wat ondersoek word

'n Tunnel tussen werven verberg 'n besonderheid wat die hele ondersoekontwerp bepaal: die presiese toestel waar die binneste pakkie as gewone teks verskyn. Alles voor daardie punt sien ESP, en alles daarna sien gewone IP wat 'n reël kan vang. Sit die grens op die verkeerde plek en die vuurmuur waarvoor jy betaal het, word 'n roeteerder met 'n lisensie. Die uiteensetting hieronder trek eers die lyn en vra dan eers watter toestel dit moet besit.

Trek die lyn waar die pakkie ophou geënkripteer word

In tunnelmodus word die oorspronklike pakkie geënkripteer en in 'n nuwe buitenste IP-opskrif toegedraai wat aan die eweknie-poort geadresseer is. Daardie buitenste pakkie dra protokol 50 vir ESP, dus enige toestel tussen die twee poorte kan dit roeteer sonder om die binneste adresse te lees. Die eerste toestel wat ontsyfer, is die veiligheidsgrens, en dit is ook die eerste toestel wat beleid op die binneste vloei kan toepas. Alles stroomaf van daardie punt is gewone roetering.

Merk drie dinge op die tekening: die buitenste eindpunt wat ESP toelaat, die beskermde netwerke wat in die beleid genoem word, en die volgende sprong wat die ontsyferde pakkie neem. As daardie drie nie op dieselfde toestel is nie, het jy 'n oorhandiging om te ontwerp, nie 'n enkele beheerpunt nie.

RFC 4301 noem die toestel wat ontsyfer 'n veiligheidspoort en behandel sy beleid as deel van die grens. Dit is 'n nuttiger raamwerk as die produk-kategorie, want 'n toestel is 'n grens wanneer dit die beleid hou, nie wanneer sy datablad vuurmuur sê nie.

Vuurmuur as eindpunt: een toestel, een beleidspunt

Wanneer die vuurmuur die tunnel beëindig, hoef die roeteerder bokant net ESP daarheen te lewer. Die vuurmuur verifieer die eweknie, ontsyfer, en pas dan sy gewone reëls toe op die binneste pakkie op pad na die bediener-VLAN. Dit gee een plek om beleid te lees en een plek om logboeke te lees, wat 'n oudit gewoonlik vra.

Kontroleer die twee toestemmings afsonderlik. Om IKE en ESP na die toestel toe te laat is nie dieselfde reël as om 'n verre werf toe te laat om 'n bediener te bereik nie, en 'n vuurmuur wat die tunnel aanvaar terwyl dit die binneste vloei blokkeer, lyk van die verre kant presies soos 'n stukkende tunnel.

Die koste is dat die vuurmuur nou op die pad van alle werfverkeer is, so sy deurset, sessieperke en failover-gedrag word die gedrag van die tunnel self. Dimensioneer dit vir die gekombineerde werfvloeie, nie vir die afstandtoegangprofiel waarvoor dit dalk gekoop is nie.

Roeteerder as eindpunt: die ondersoeksprong word opsioneel

Wanneer die roeteerder ontsyfer, is die pakkie al oop wanneer dit die roeteringstabel bereik. As 'n aparte vuurmuur daardie verkeer moet ondersoek, moet die roeteerder dit deur die vuurmuur stuur en die terugpad moet op dieselfde manier terugkom. 'n Direkte roete van die roeteerder na die bediener-VLAN verwyder die vuurmuur stilweg van die pad terwyl dit op die tekening bly.

Dit is die fout om in 'n bestaande netwerk te soek: twee roetes na dieselfde voorvoegsel, een deur die vuurmuur en een direk, met die direkte een wat wen op voorvoegsellengte of metriek. Die tunnel laat steeds verkeer deur en die ondersoek waarin jy glo, gebeur nie.

Roetegebaseerde tonnels maak dit sigbaar, want die tunnel is 'n koppelvlak waardeur jy deur 'n ander toestel kan roeteer. Beleidgebaseerde tonnels kies verkeer met 'n kieser, wat die ontsyferde pakkie op die roeteerder kan laat met nêrens anders om heen te gaan nie.

Vra albei kandidate dieselfde vyf vrae

'n Kort werkblad klop 'n kenmerkmatriks, want elke vraag stem ooreen met een lyn op die tekening. Vra elke kandidaat:

• Watter IKE-weergawes, watter eweknie-verifikasiemetodes en roeteringsmodelle ondersteun hierdie weergawe werklik?
• Waar word ESP toegelaat, en waar word die ontsyferde vloei toegelaat of geweier?
• Hoe leer plaaslike gashere die verre voorvoegsels, en hoe leer die ander kant s'n?
• Watter deurset, sessietelling en failover-gedrag moet die eindpunt vir die werklike werklading verduur?
• Wie besit die eweknie-aanmeldinggegewens, die beleid en die herstelpad wanneer die tunnel die stukkende ding is?

pfSense dokumenteer beleidgebaseerde en roetegebaseerde IPsec as aparte modelle met aparte beperkings, en daardie verskil tel meer as die etiket op die boks. Kontroleer die presiese modus en die ondersteunde filtering van ontsyferde verkeer in die weergawe wat jy werklik sou ontplooi.

As 'n kandidaat nie die tweede vraag met 'n reël kan beantwoord wat jy kan lees nie, is dit nie die grens wat jy wil hê nie, hoe goed dit ook al die res doen. Vra die reëlteks eerder as 'n ja, en behandel 'n vae antwoord as 'n nee.

Verifieer die pad met 'n opname, nie met die tekening nie

'n Tekening beskryf die bedoeling en 'n opname beskryf die gedrag, so bevestig watter koppelvlak ESP dra en watter die binneste vloei dra voordat jy enigeen van hulle vertrou.

tcpdump -ni wan0 esp
tcpdump -ni lan0 host 10.60.4.20
ip xfrm policy list

As die eerste opname wys ESP kom in en die tweede wys die binneste pakkie aan die LAN-kant, is die ontsyferpunt waar jy dink. As die binneste pakkie op 'n segment verskyn wat die vuurmuur omseil, is die roetering verkeerd, wat die beleidsteks ook al sê. Die xfrm-lys wys dan watter kiesers geïnstalleer is en in watter rigting.

Herhaal die opname op die terugpad, want asimmetriese roetering is algemeen wanneer een werf twee moontlike uitgange het. 'n Tunnel wat in een rigting werk en in die ander een time-out, is byna altyd dit, en geen beleidswysiging aan die ander kant regstel dit nie.