IPsec паміж двума хастамі: дзе пачынаецца і дзе сканчаецца абарона

Абарона на пары хастаў пачынаецца там, дзе сканчаецца асацыяцыя бяспекі, і менавіта гэты факт часцей за ўсё прапускае інтуіцыя, сфармаваная шлюзамі. Сервер праграмы і яго сервер базы даных могуць напрамую абараняць сваю ўласную размову, без якога-небудзь канцэнтратара аддаленага доступу на шляху, і мяжа абароны тады знаходзіцца ўнутры кожнага хаста, а не ў міжсеткавым экране. Што гэта дае, дык гэта пакрыццё ад канца да канца для выбраных патокаў. Чаго гэта не дае, дык гэта рашэння пра тое, хто можа чытаць які радок.

Мяжа там, дзе сканчаецца SA

RFC 4301 апісвае асацыяцыі бяспекі ў транспартным рэжыме як размяшчэнне, якое звычайна выкарыстоўваецца паміж парай хастаў для абароны ад канца да канца. Гэтыя два хасты трымаюць ключы, і кожны вырашае, якія з яго ўласных пакетаў уваходзяць у асацыяцыю. Тунель шлюза сканчаецца зусім у іншым месцы і дасягае хаста праз дадатковы ўнутраны сегмент, што з'яўляецца іншай мяжой даверу, нават калі пакет зашыфраваны на большай частцы яго шляху.

Хаст-да-хаста і транспартны рэжым, аднак, не з'яўляюцца сінонімамі. Два хасты могуць гэтак жа правільна пабудаваць асацыяцыю ў тунельным рэжыме паміж сабой, таму спачатку выберыце рэжым, а затым апішыце канчатковыя пункты. Запішыце абодва ў нататку пра праект побач з адрасамі партнёраў, бо рэцэнзент, які ведае толькі рэжым, будзе меркаваць іншы.

SPD вырашае пра абарону, маршрут вырашае пра кірунак

Табліца маршрутызацыі адказвае, куды ідзе пакет. База палітыкі бяспекі адказвае, як выбраны трафік перасякае мяжу абароны, і робіць гэта для кожнага кірунку са сваімі селектарамі. Гэтае раздзяленне — прычына, чаму працоўны маршрут да базы даных нічога не даказвае пра тое, ці быў запыт абаронены, і чаму усталяваныя перамовы нічога не даказваюць пра тое, ці адпавядала ім гэтая канкрэтная праграма. Параўнайце селектары перад тым, як параўноўваць лічыльнікі, бо лічыльнікі апісваюць толькі тыя паткі, якія зайшлі так далёка.

У Linux ip xfrm policy выводзіць гэтыя запісы з іх кірункам, прыярытэтам, селектарам і дзеяннем дазволіць, заблакаваць або злавіць, а ip xfrm state паказвае атрыманыя асацыяцыі і іх лічыльнікі. Чытанне абодвух разам — гэта спосаб знайсці паток, які ціха абышоў тунель, бо больш шырокі запіс дазволу супаў першым.

Парадак прыярытэтаў — частка палітыкі, а не дэталь рэалізацыі. Вузкі запіс, які павінен абараняць порт базы даных, прайграе больш шырокаму запісу з вышэйшым прыярытэтам, і збой выглядае так, нібы палітыку ніколі не пыталі.

Транспартны рэжым ахоплівае наступны ўзровень, а не загаловак IP

У транспартным рэжыме загаловак ESP знаходзіцца паміж загалоўкам IP і карыснай нагрузкай, і адрасныя палі гэтага загалоўка застаюцца бачнымі для кожнай прылады на шляху. Гэта добра, калі адрасы не з'яўляюцца сакрэтам, а нагрузка — так. Гэта няправільны выбар, калі вам таксама трэба схаваць унутраную тапалогію, бо толькі тунельны рэжым заварочвае зыходны загаловак у новы.

Абодва рэжымы могуць несці некалькі пратаколаў наступнага ўзроўню, і ESP абароніць тое, што супадае з селектарам, а не ўсё, што дасылае хаст.

Выбар вузейшы за злучэнне

Адна асацыяцыя можа несці некалькі патокаў, але толькі тыя, якія выбірае палітыка. Запішыце ідэнтычнасці партнёраў, адрасы крыніцы і прызначэння, пратакол і абсяг паслугі для той сувязі, якую вы маеце на ўвазе, а затым асобна вырашыце, ці можа неадпаведны трафік ісці адкрыта, ці павінен быць абаронены, ці павінен быць адкінуты, калі асацыяцыя недаступная. Менавіта апошняе рашэнне стварае нечаканасці, бо правіла, якое патрабуе абароны для няправільнай крыніцы, можа заблакаваць ваш уласны доступ да кіравання гэтак жа эфектыўна, як яно блакуе зламысніка.

Трымайце зацверджаны пазапалосны шлях, пакуль змяняеце прымяненне, і праверце яго раней, чым ён спатрэбіцца, а не пасля таго, як абодва хасты стануць недасягальнымі.

Ідэнтычнасць машыны — не дазвол праграмы

IPsec аўтэнтыфікуе наладжанага партнёра і абараняе выбраныя пакеты. Ён не вырашае, які запіс базы даных чалавек можа рэдагаваць, і не ператварае давераны ідэнтыфікатар сервера ў выдачу ўсіх прывілеяў праграмы. Уліковыя запісы, ролі і аўтарызацыя праграмы застаюцца менавіта там, дзе былі, а патрабаванне TLS на ўзроўні праграмы захоўвае сваю ўласную мэту, нават калі сеткавы шлях ужо абаронены.

Прыміце праект з адной аперацыяй з меркаванай крыніцы і адной, якая павінна быць адхілена, і ўключыце, што адбываецца, калі неабходную асацыяцыю немагчыма ўсталяваць. Звычайны тэст дасягальнасці кажа вам, што пакеты рухаюцца; ён не кажа, што яны рухаліся пад палітыкай, якую вы напісалі.