Saytınızın VPN-i harada sonlanırsa, yoxlanılanı da o müəyyən edir

Saytlar arası tunel bütün yoxlama dizaynını müəyyən edən bir detala gizlənir: daxili paketin açıq mətn kimi göründüyü dəqiq cihaz. Həmin nöqtədən əvvəl hər şey ESP görür, ondan sonra hər şey isə qaydanın tuta biləcəyi adi IP görür. Sərhədi səhv yerə qoyun və pulunu ödədiyiniz firewall lisenziyalı marşrutlaşdırıcıya çevrilir. Aşağıdakı icmal əvvəlcə xətti çəkir və yalnız sonra hansı cihazın ona sahib olmalı olduğunu soruşur.

Xətti paketin artıq şifrələnmədiyi yerdə çəkin

Tunel rejimində ilkin paket şifrələnir və qarşı tərəf şlüzünə ünvanlanmış yeni xarici IP başlığına bükülür. Bu xarici paket ESP üçün 50 protokolunu daşıyır, ona görə iki şlüz arasındakı istənilən cihaz daxili ünvanları oxumadan onu marşrutlaşdıra bilər. Deşifrə edən ilk cihaz təhlükəsizlik sərhədidir və daxili axına siyasət tətbiq edə bilən ilk cihaz da məhz odur. Bu nöqtədən aşağı olan hər şey adi marşrutlaşdırmadır.

Rəsmdə üç şeyi qeyd edin: ESP-ni qəbul edən xarici son nöqtə, siyasətdə adı çəkilən qorunan şəbəkələr, və deşifrə olunmuş paketin etdiyi növbəti atlama. Bu üçü eyni cihazda deyilsə, tək nəzarət nöqtəsi deyil, layihələndirilməli ötürmə var.

RFC 4301 deşifrə edən cihazı təhlükəsizlik şlüzü adlandırır və onun siyasətini sərhədin bir hissəsi sayır. Bu, məhsul kateqoriyasından daha faydalı çərçivədir, çünki cihaz siyasəti saxlayanda sərhəddir, məlumat vərəqində firewall yazanda deyil.

Firewall sonlandırma kimi: bir cihaz, bir siyasət nöqtəsi

Firewall tuneli sonlandıranda, yuxarıdakı marşrutlaşdırıcı ona yalnız ESP çatdırmalıdır. Firewall qarşı tərəfi doğrular, deşifrə edir və sonra server VLAN-na gedən yolda daxili paketə adi qaydalarını tətbiq edir. Beləcə siyasəti oxumaq üçün bir yer, jurnalları oxumaq üçün bir yer olur; auditin adətən istədiyi də budur.

İki icazəni ayrı-ayrı yoxlayın. Cihaza IKE və ESP-yə icazə vermək, uzaq saytın serverə çatmasına icazə verməklə eyni qayda deyil və tuneli qəbul edib daxili axını bloklayan firewall qarşı tərəfdən tam olaraq pozulmuş tunel kimi görünür.

Bunun qiyməti odur ki, firewall artıq bütün sayt trafikinin yolu üzərində dayanır, ona görə ötürmə qabiliyyəti, sessiya limitləri və ehtiyat rejimə keçmə davranışı tunelin öz davranışına çevrilir. Onu birləşdirilmiş sayt axınlarına görə ölçün, bəlkə də alındığı uzaqdan giriş profilinə görə deyil.

Marşrutlaşdırıcı sonlandırma kimi: yoxlama atlaması istəyə bağlı olur

Marşrutlaşdırıcı deşifrə edəndə paket marşrutlaşdırma cədvəlinə çatanda artıq açıqdır. Əgər ayrı bir firewall bu trafiki yoxlamalıdırsa, marşrutlaşdırıcı onu firewalldan keçirməlidir və qayıdış yolu eyni şəkildə geri gəlməlidir. Marşrutlaşdırıcıdan server VLAN-na birbaşa marşrut firewall-u səssizcə yoldan çıxarır, amma rəsmdə saxlayır.

Mövcud şəbəkədə axtarılmalı olan nasazlıq budur: eyni prefiksə iki marşrut, biri firewalldan, digəri birbaşa; birbaşa olan prefiks uzunluğu və ya metrikaya görə qalib gəlir. Tunel hələ də trafik keçirir və inandığınız yoxlama baş vermir.

Marşruta əsaslanan tunellər bunu görünən edir, çünki tunel başqa cihaz üzərindən marşrutlaşdıra biləcəyiniz interfeysdir. Siyasətə əsaslanan tunellər trafiki selektorla seçir, bu da deşifrə olunmuş paketi marşrutlaşdırıcıda başqa gedəcək yer olmadan qoya bilər.

Hər iki namizədə eyni beş sualı verin

Qısa iş vərəqi funksiya matrisini üstələyir, çünki hər sual rəsmdəki bir xəttə uyğun gəlir. Hər namizəddən soruşun:

• Hansı IKE versiyalarını, hansı qarşı tərəf autentifikasiyası üsullarını və marşrutlaşdırma modellərini bu buraxılış həqiqətən dəstəkləyir?
• ESP harada qəbul edilir və deşifrə olunmuş axın harada icazə verilir və ya rədd edilir?
• Yerli hostlar uzaq prefiksləri necə öyrənir və qarşı tərəf sizinkiləri necə öyrənir?
• Son nöqtə real yük üçün hansı ötürmə qabiliyyətini, sessiya sayını və ehtiyat rejimə keçmə davranışını dözməlidir?
• Pozulan şey tunel olduqda qarşı tərəfin etimad məlumatlarına, siyasətə və bərpa yoluna kim sahibdir?

pfSense siyasətə əsaslanan və marşruta əsaslanan IPsec-i ayrı məhdudiyyətləri olan ayrı modellər kimi sənədləşdirir və bu fərq qutunun üzərindəki etiketdən daha önəmlidir. Həqiqətən yerləşdirəcəyiniz buraxılışda dəqiq rejimi və deşifrə olunmuş trafikin dəstəklənən filtrlənməsini yoxlayın.

Namizəd ikinci suala oxuya bildiyiniz bir qayda ilə cavab verə bilmirsə, başqa hər şeyi nə qədər yaxşı etsə də, istədiyiniz sərhəd o deyil. Bəli əvəzinə qaydanın mətnini istəyin və qeyri-müəyyən cavabı yox kimi qəbul edin.

Yolu rəsmlə deyil, tutma ilə yoxlayın

Rəsm niyyəti, tutma isə davranışı təsvir edir, ona görə hər hansı birinə güvənməzdən əvvəl hansı interfeysin ESP, hansının daxili axın daşıdığını təsdiqləyin.

tcpdump -ni wan0 esp
tcpdump -ni lan0 host 10.60.4.20
ip xfrm policy list

Birinci tutma ESP-nin gəldiyini, ikincisi daxili paketin LAN tərəfində olduğunu göstərirsə, deşifrə nöqtəsi düşündüyünüz yerdədir. Daxili paket firewall-u yan keçən seqmentdə görünürsə, siyasət mətni nə deyirsə desin, marşrutlaşdırma səhvdir. xfrm siyahısı sonra hansı selektorların quraşdırıldığını və hansı istiqamətdə olduğunu göstərir.

Tutmanı qayıdış yolu üzərində təkrarlayın, çünki saytın iki mümkün çıxışı olduqda asimmetrik marşrutlaşdırma adi haldır. Bir istiqamətdə işləyib digərində vaxt aşımına düşən tunel demək olar ki, həmişə budur və qarşı tərəfdə heç bir siyasət düzəlişi bunu düzəltməyəcək.