Дзе заканчваецца VPN вашага сайта, вырашае, што менавіта правяраецца

Прылада, якая расшыфроўвае трафік паміж пляцоўкамі, вырашае, што міжсеткавы экран яшчэ можа праверыць. Спачатку намалюйце мяжу, а затым выбірайце маршрутызатар або міжсеткавы экран.

Тунэль паміж пляцоўкамі хавае дэталь, якая вырашае ўвесь праект праверкі: дакладную прыладу, на якой унутраны пакет з'яўляецца ў адкрытым выглядзе. Усё да гэтага пункта бачыць ESP, а ўсё пасля яго бачыць звычайны IP, які можа злавіць правіла. Пастаўце мяжу не туды, і міжсеткавы экран, за які вы заплацілі, ператвараецца ў маршрутызатар з ліцэнзіяй. Разбор ніжэй спачатку малюе лінію і толькі потым пытае, якая прылада павінна ёй валодаць.

Правядзіце лінію там, дзе пакет перастае быць зашыфраваным

У рэжыме тунэлю зыходны пакет шыфруецца і загортваецца ў новы знешні загаловак IP, адрасаваны шлюзу партнёра. Гэты знешні пакет нясе пратакол 50 для ESP, таму любая прылада паміж двума шлюзамі можа яго маршрутызаваць, не чытаючы ўнутраныя адрасы. Першая прылада, якая расшыфроўвае, — гэта мяжа бяспекі, і яна ж першая, хто можа ўжыць палітыку да ўнутранага патоку. Усё ніжэй гэтага пункта — звычайная маршрутызацыя.

Адзначце на схеме тры рэчы: знешні канцавы пункт, які прапускае ESP, абароненыя сеткі, названыя ў палітыцы, і наступны пераход, які робіць расшыфраваны пакет. Калі гэтыя тры не на адной прыладзе, вам трэба праектаваць перадачу, а не адзіны пункт кантролю.

RFC 4301 называе прыладу, што расшыфроўвае, шлюзам бяспекі і разглядае яе палітыку як частку мяжы. Гэта карыснейшая рамка, чым катэгорыя прадукту, бо прылада з'яўляецца мяжой тады, калі яна трымае палітыку, а не тады, калі ў яе спецыфікацыі напісана «міжсеткавы экран».

Міжсеткавы экран як тэрмінатар: адна прылада, адзін пункт палітыкі

Калі экран завяршае тунэль, маршрутызатару вышэй застаецца толькі даставіць яму ESP. Экран правярае сапраўднасць партнёра, расшыфроўвае і потым ужывае свае звычайныя правілы да ўнутранага пакета на шляху да VLAN сервераў. Так з'яўляецца адно месца для чытання палітыкі і адно месца для чытання журналаў, чаго звычайна і патрабуе аўдыт.

Правярайце два дазволы асобна. Дазволіць IKE і ESP да прылады — гэта не тое ж правіла, што дазволіць аддаленай пляцоўцы дабрацца да сервера, і экран, які прымае тунэль, блокуючы ўнутраны паток, з далёкага канца выглядае акурат як зламаны тунэль.

Кошт у тым, што экран цяпер стаіць на шляху ўсяго трафіку пляцоўкі, таму яго прапускная здольнасць, ліміты сесій і паводзіны пры адмове становяцца паводзінамі самога тунэлю. Падбірайце яго пад сумарныя патокі пляцоўкі, а не пад профіль аддаленага доступу, для якога яго, магчыма, купілі.

Маршрутызатар як тэрмінатар: праверны пераход робіцца неабавязковым

Калі расшыфроўвае маршрутызатар, пакет ужо адкрыты, калі даходзіць да табліцы маршрутызацыі. Калі асобны экран мае правяраць гэты трафік, маршрутызатар мусіць адправіць яго праз экран, і зваротны шлях мусіць вярнуцца гэтак жа. Прамы маршрут ад маршрутызатара да VLAN сервераў ціха прыбірае экран са шляху, пакідаючы яго на схеме.

Гэта тая няспраўнасць, якую трэба шукаць у існуючай сетцы: два маршруты да аднаго прэфікса, адзін праз экран і адзін прамы, і прамы выйграе па даўжыні прэфікса або метрыцы. Тунэль далей прапускае трафік, а праверкі, у якую вы верыце, не адбываецца.

Тунэлі на аснове маршрутаў робяць гэта бачным, бо тунэль — гэта інтэрфейс, праз які можна маршрутызаваць праз іншую прыладу. Тунэлі на аснове палітык выбіраюць трафік па селектары, і расшыфраваны пакет можа застацца на маршрутызатары без іншага шляху.

Задайце абодвум кандыдатам тыя ж пяць пытанняў

Кароткі апытальны аркуш лепшы за матрыцу функцый, бо кожнае пытанне адпавядае лініі на схеме. Спытайце кожнага кандыдата:

  • Якія версіі IKE, якія метады аўтэнтыфікацыі партнёраў і мадэлі маршрутызацыі гэтая версія сапраўды падтрымлівае?
  • Дзе дапускаецца ESP і дзе дазволены або забаронены расшыфраваны паток?
  • Як лакальныя вузлы даведваюцца пра аддаленыя прэфіксы, а як процілеглы бок даведваецца пра вашыя?
  • Якую прапускную здольнасць, колькасць сесій і паводзіны пры адмове мае вытрымаць канцавы пункт для рэальнай нагрузкі?
  • Хто адказвае за ўліковыя даныя партнёра, палітыку і шлях аднаўлення, калі зламаны менавіта тунэль?

pfSense апісвае IPsec на аснове палітык і IPsec на аснове маршрутаў як асобныя мадэлі з асобнымі абмежаваннямі, і гэтая розніца важнейшая за этыкетку на скрынцы. Праверце дакладны рэжым і падтрымліваную фільтрацыю расшыфраванага трафіку ў той версіі, якую вы сапраўды разгорнеце.

Калі кандыдат не можа адказаць на другое пытанне правілам, якое можна прачытаць, гэта не тая мяжа, якая вам патрэбна, хай бы ён ні рабіў усё астатняе добра. Прасіце тэкст правіла, а не «так», і неакрэслены адказ лічыце адмовай.

Праверце шлях захопам, а не схемай

Схема апісвае задуму, а захоп апісвае паводзіны, таму пацвердзіце, які інтэрфейс нясе ESP, а які — унутраны паток, перш чым верыць любому з іх.

tcpdump -ni wan0 esp
tcpdump -ni lan0 host 10.60.4.20
ip xfrm policy list

Калі першы захоп паказвае ESP, што прыходзіць, а другі — унутраны пакет з боку LAN, пункт расшыфроўкі там, дзе вы думаеце. Калі ўнутраны пакет з'яўляецца на сегменце ў абыход экрана, маршрутызацыя няправільная, што б ні казаў тэкст палітыкі. Пералік xfrm тады паказвае, якія селектары ўсталяваныя і ў якім кірунку.

Паўтарыце захоп на зваротным шляху, бо асіметрычная маршрутызацыя звычайная, калі пляцоўка мае два магчымыя выхады. Тунэль, які працуе ў адзін бок і завяршаецца тайм-аўтам у іншы, амаль заўсёды менавіта гэта, і ніякае рэдагаванне палітыкі на далёкім баку гэта не выправіць.

Падобныя артыкулы