أين ينتهي VPN موقعك يحدد ما يجري تفتيشه

يخفي النفق بين المواقع تفصيلاً يحدد تصميم التفتيش كله: الجهاز المحدد الذي تظهر عليه الحزمة الداخلية بنص واضح. كل ما قبل تلك النقطة يرى ESP، وكل ما بعدها يرى IP عادياً يمكن لقاعدة أن تطابقه. ضع الحد في المكان الخطأ وسيصبح جدار الحماية الذي دفعت ثمنه موجهًا برخصة. يستعرض ما يلي رسم الخط أولاً ثم يسأل بعد ذلك أي جهاز يجب أن يمتلكه.

ارسم الخط حيث تتوقف الحزمة عن كونها مشفرة

في وضع النفق تُشفَّر الحزمة الأصلية وتُغلَّف في ترويسة IP خارجية جديدة موجهة إلى بوابة النظير. تحمل تلك الحزمة الخارجية البروتوكول 50 لأجل ESP، لذا يمكن لأي جهاز بين البوابتين توجيهها دون قراءة العناوين الداخلية. أول جهاز يفك التشفير هو حد الأمان، وهو أيضًا أول جهاز يستطيع تطبيق سياسة على التدفق الداخلي. كل ما يقع أسفل تلك النقطة هو توجيه عادي.

علّم ثلاثة أشياء على الرسم: نقطة النهاية الخارجية التي تسمح بدخول ESP،الشبكات المحمية المذكورة في السياسة، والقفزة التالية التي تقوم بها الحزمة المفكوكة. إذا لم تكن هذه الثلاثة على الجهاز نفسه، فلديك تسليم يحتاج إلى تصميم وليس نقطة تحكم واحدة.

يسمي RFC 4301 الجهاز الذي يفك التشفير بوابة أمان ويعامل سياسته كجزء من الحد. هذا إطار أنفع من فئة المنتج، لأن الجهاز يكون حدًا عندما يحتفظ بالسياسة، لا عندما تقول ورقة بياناته جدار حماية.

جدار الحماية كنقطة إنهاء: جهاز واحد، نقطة سياسة واحدة

عندما ينهي جدار الحماية النفق، لا يبقى على الموجه الأعلى سوى تسليم ESP إليه. يتحقق جدار الحماية من النظير ويفك التشفير ثم يطبق قواعده المعتادة على الحزمة الداخلية في طريقها إلى VLAN الخوادم. بذلك يوجد مكان واحد لقراءة السياسة ومكان واحد لقراءة السجلات، وهو ما تطلبه المراجعة عادة.

افحص الإذنين منفصلتين. السماح بـ IKE وESP نحو الجهاز ليس القاعدة نفسها التي تسمح لموقع بعيد بالوصول إلى خادم، وجدار الحماية الذي يقبل النفق بينما يحجب التدفق الداخلي يبدو من الطرف الآخر تمامًا كنفق معطل.

الثمن أن جدار الحماية يقع الآن على مسار كل حركة الموقع، لذا تصبح إنتاجيته وحدود الجلسات وسلوك التبديل عند الفشل هي سلوك النفق نفسه. قدّره على أساس تدفقات الموقع المجمعة لا على أساس ملف الوصول البعيد الذي ربما اشتُري من أجله.

الموجه كنقطة إنهاء: قفزة التفتيش تصبح اختيارية

عندما يفك الموجه التشفير، تكون الحزمة واضحة بالفعل حين تصل إلى جدول التوجيه. إذا كان على جدار حماية منفصل تفتيش تلك الحركة، فعلى الموجه إرسالها عبر جدار الحماية وعلى مسار العودة أن يعود بالطريقة نفسها. المسار المباشر من الموجه إلى VLAN الخوادم يزيل جدار الحماية من المسار بهدوء ويتركه على الرسم.

هذا هو العطل الذي يجب البحث عنه في شبكة قائمة: مساران إلى البادئة نفسها، أحدهما عبر جدار الحماية والآخر مباشر، والمباشر يفوز بطول البادئة أو بالمقياس. يظل النفق يمرر الحركة والتفتيش الذي تؤمن به لا يحدث.

تجلّي الأنفاق القائمة على المسارات ذلك، لأن النفق واجهة يمكن التوجيه عبرها عبر جهاز آخر. أما الأنفاق القائمة على السياسات فتختار الحركة بالمحدد، وقد يترك ذلك الحزمة المفكوكة على الموجه دون وجهة أخرى.

اطرح على المرشحين الاثنين الأسئلة الخمسة نفسها

ورقة عمل قصيرة تتغلب على مصفوفة ميزات، لأن كل سؤال يقابل خطًا على الرسم. اسأل كل مرشح:

• أي إصدارات IKE،وأي طرق مصادقة للنظير وأي نماذج توجيه يدعمها هذا الإصدار فعليًا؟
• أين يُسمح بدخول ESP وأين يُسمح بالتدفق المفكوك أو يُمنع؟
• كيف تتعلم المضيفات المحلية البادئات البعيدة وكيف يتعلم الطرف الآخر بادئاتك؟
• أي إنتاجية وكم عدد جلسات وأي سلوك تبديل عند الفشل يجب أن تتحمله نقطة النهاية للحمل الحقيقي؟
• من يملك بيانات اعتماد النظير والسياسة ومسار الاستعادة عندما يكون النفق هو الشيء المعطل؟

يوثّق pfSense نظام IPsec القائم على السياسات وIPsec القائم على المسارات كنموذجين منفصلين بقيدين منفصلين، وهذا الفرق أهم من الملصق على الصندوق. تحقق من الوضع الدقيق ومن الترشيح المدعوم للحركة المفكوكة في الإصدار الذي ستنشره فعلاً.

إذا لم يستطع مرشح الإجابة عن السؤال الثاني بقاعدة يمكنك قراءتها، فهو ليس الحد الذي تريده مهما أحسن في كل شيء آخر. اطلب نص القاعدة بدلًا من نعم، واعتبر الإجابة الغامضة رفضًا.

تحقق من المسار بالتقاط لا بالرسم

الرسم يصف النية والالتقاط يصف السلوك، لذا تأكد من الواجهة التي تحمل ESP والواجهة التي تحمل التدفق الداخلي قبل الوثوق بأي منهما.

tcpdump -ni wan0 esp
tcpdump -ni lan0 host 10.60.4.20
ip xfrm policy list

إذا أظهر الالتقاط الأول وصول ESP وأظهر الثاني الحزمة الداخلية على جانب LAN، فنقطة فك التشفير حيث تظن. وإذا ظهرت الحزمة الداخلية على مقطع يتجاوز جدار الحماية، فالتوجيه خطأ مهما قال نص السياسة. تعرض قائمة xfrm عندها المحددات المثبتة والاتجاه.

كرر الالتقاط على مسار العودة، لأن التوجيه غير المتماثل شائع عندما يكون لموقع ما مخرجان محتملان. النفق الذي يعمل في اتجاه واحد وينتهي بمهلة في الاتجاه الآخر هو هذا غالبًا، ولا يصلحه أي تعديل للسياسة على الطرف الآخر.