IPsec между два хоста: къде защитата започва и къде свършва

Защитата върху двойка хостове започва там, където свършва асоциацията за сигурност, и точно този факт най-често пропуска интуицията, оформена от шлюзове. Сървър за приложения и неговият сървър за бази данни могат да защитават собствения си разговор директно, без никакъв концентратор за отдалечен достъп по пътя, и границата на защита тогава се намира вътре във всеки хост, а не в защитна стена. Това, което това ви дава, е покритие от край до край за избрани потоци. Това, което не ви дава, е решение кой може да чете кой ред.

Границата е там, където свършва SA

RFC 4301 описва асоциациите за сигурност в транспортен режим като подредбата, обикновено използвана между двойка хостове за защита от край до край. Тези два хоста държат ключовете и всеки решава кои от собствените му пакети влизат в асоциацията. Шлюзовият тунел свършва съвсем другаде и достига до хоста през допълнителен вътрешен сегмент, което е друга граница на доверие, дори когато пакетът е криптиран през по-голямата част от пътуването си.

Хост-към-хост и транспортният режим обаче не са синоними. Два хоста могат също толкова правилно да изградят асоциация в тунелен режим помежду си, затова първо изберете режима и после опишете крайните точки. Запишете и двете в бележката за дизайна до адресите на партньорите, защото рецензент, който познава само режима, ще предположи другия.

SPD решава за защитата, маршрутът решава за посоката

Таблицата за маршрутизация отговаря къде отива пакетът. Базата с политики за сигурност отговаря как избраният трафик пресича границата на защита и го прави за всяка посока със свои собствени селектори. Това разделение е причината работещ маршрут до базата данни да не доказва нищо за това дали заявката е била защитена, и причината установени преговори да не доказват нищо за това дали точно това приложение съответства на тях. Сравнете селекторите, преди да сравните броячите, защото броячите описват само потоците, които са стигнали толкова далеч.

В Linux ip xfrm policy отпечатва тези записи с тяхната посока, приоритет, селектор и действие разреши, блокирай или прихвани, докато ip xfrm state показва получените асоциации и техните броячи. Четенето на двете заедно е начинът да намерите потока, който тихо е заобиколил тунела, защото по-широк запис за разрешение е съвпаднал първи.

Редът на приоритетите е част от политиката, а не детайл на реализацията. Тесен запис, който трябва да защитава порта на базата данни, губи от по-широк запис с по-висок приоритет, и отказът изглежда така, сякаш политиката никога не е била питана.

Транспортният режим покрива следващия слой, а не IP заглавката

В транспортен режим ESP заглавката стои между IP заглавката и полезния товар, а адресните полета на тази заглавка остават видими за всяко устройство по пътя. Това е добре, когато адресите не са тайната, а товарът е. Това е грешният избор, ако трябва да скриете и вътрешната топология, защото само тунелният режим увива оригиналната заглавка в нова.

И двата режима могат да носят няколко протокола от следващия слой, а ESP ще защитава това, с което съвпада селекторът, вместо всичко, което хостът изпраща.

Изборът е по-тесен от връзката

Една асоциация може да носи няколко потока, но само тези, които политиката избира. Запишете самоличностите на партньорите, адресите на източника и местоназначението, протокола и обхвата на услугата за връзката, която възнамерявате, после отделно решете дали несъответстващият трафик може да минава открито, дали трябва да бъде защитен или дали трябва да бъде изхвърлен, когато асоциацията не е налична. Именно последното решение създава изненади, защото правило, изискващо защита за грешния източник, може да блокира собствения ви административен достъп толкова ефективно, колкото блокира натрапник.

Поддържайте одобрен извънлентов път, докато променяте прилагането, и го тествайте преди да ви потрябва, а не след като двата хоста станат недостъпни.

Идентичността на машината не е разрешение на приложението

IPsec удостоверява конфигуриран партньор и защитава избрани пакети. Той не решава кой запис в базата данни човек може да редактира и не превръща доверена идентичност на сървър в предоставяне на всички приложни привилегии. Приложните акаунти, ролите и оторизацията остават точно там, където бяха, а изискването за TLS на ниво приложение запазва собствената си цел дори когато мрежовият път вече е защитен.

Приемете дизайна с една операция от предвидения източник и една, която трябва да бъде отказана, и включете какво се случва, когато изискваната асоциация не може да бъде установена. Обикновен тест за достъпност ви казва, че пакетите се движат; той не ви казва, че са се движили под политиката, която сте написали.