Къде завършва VPN на обекта ви решава какво се проверява

Устройството, което дешифрира трафика между обектите, решава какво още може да провери защитната стена. Първо начертайте границата, после изберете рутер или защитна стена.

Тунелът между обекти скрива подробност, която решава целия дизайн на проверката: точното устройство, на което вътрешният пакет се появява в открит вид. Всичко преди тази точка вижда ESP, а всичко след нея вижда обикновен IP, който правило може да улови. Поставете границата на грешното място и защитната стена, за която сте платили, става рутер с лиценз. Описанието по-долу първо чертае линията и само след това пита кое устройство трябва да я притежава.

Начертайте линията там, където пакетът престава да бъде криптиран

В режим на тунел оригиналният пакет се криптира и обвива в нов външен IP заглавен блок, адресиран до партньорския шлюз. Този външен пакет носи протокол 50 за ESP, така че всяко устройство между двата шлюза може да го маршрутизира, без да чете вътрешните адреси. Първото устройство, което дешифрира, е границата за сигурност и е също първото, което може да приложи политика към вътрешния поток. Всичко надолу по веригата от тази точка е обикновено маршрутизиране.

Отбележете три неща на схемата: външната крайна точка, която допуска ESP, защитените мрежи, посочени в политиката, и следващия хоп, който дешифрираният пакет прави. Ако тези три не са на едно и също устройство, имате предаване за проектиране, а не една контролна точка.

RFC 4301 нарича дешифриращото устройство шлюз за сигурност и разглежда политиката му като част от границата. Това е по-полезна рамка от продуктовата категория, защото едно устройство е граница, когато държи политиката, а не когато в информационния му лист пише защитна стена.

Защитна стена като крайна точка: едно устройство, една точка на политика

Когато защитната стена завърши тунела, рутерът отгоре трябва само да ѝ достави ESP. Защитната стена удостоверява партньора, дешифрира и след това прилага обичайните си правила към вътрешния пакет по пътя към VLAN на сървърите. Така има едно място за четене на политиката и едно място за четене на журналите, което одитът обикновено изисква.

Проверете двете разрешения поотделно. Разрешаването на IKE и ESP към устройството не е същото правило като разрешаването на отдалечен обект да достигне сървър, а защитна стена, която приема тунела, но блокира вътрешния поток, изглежда от другия край точно като счупен тунел.

Цената е, че защитната стена вече стои на пътя на целия трафик на обекта, така че нейната пропускателна способност, лимитите на сесиите и поведението при превключване стават поведение на самия тунел. Оразмерете я за комбинираните потоци на обекта, а не за профила за отдалечен достъп, за който може да е купена.

Рутер като крайна точка: хопът за проверка става незадължителен

Когато рутерът дешифрира, пакетът вече е в открит вид, когато стигне до таблицата за маршрутизиране. Ако отделна защитна стена трябва да проверява този трафик, рутерът трябва да го изпрати през защитната стена, а обратният път трябва да се върне по същия начин. Директен маршрут от рутера до VLAN на сървърите тихо премахва защитната стена от пътя, като я оставя на схемата.

Това е повредата, която да търсите в съществуваща мрежа: два маршрута към един и същ префикс, един през защитната стена и един директен, като директният печели по дължина на префикса или метрика. Тунелът продължава да пропуска трафик и проверката, в която вярвате, не се случва.

Тунелите на базата на маршрути правят това видимо, защото тунелът е интерфейс, през който можете да маршрутизирате през друго устройство. Тунелите на базата на политики избират трафик по селектор, което може да остави дешифрирания пакет на рутера без друго място, накъдето да отиде.

Задайте на двамата кандидати същите пет въпроса

Кратък работен лист побеждава матрица с функции, защото всеки въпрос отговаря на линия от схемата. Попитайте всеки кандидат:

  • Кои версии на IKE, кои методи за удостоверяване на партньора и кои модели на маршрутизиране тази версия действително поддържа?
  • Къде се допуска ESP и къде дешифрираният поток се разрешава или забранява?
  • Как локалните хостове научават отдалечените префикси и как другата страна научава вашите?
  • Каква пропускателна способност, брой сесии и поведение при превключване трябва да издържи крайната точка за реалното натоварване?
  • Кой отговаря за идентификационните данни на партньора, политиката и пътя за възстановяване, когато тунелът е счупеното нещо?

pfSense документира IPsec на базата на политики и IPsec на базата на маршрути като отделни модели с отделни ограничения и тази разлика тежи повече от етикета на кутията. Проверете точния режим и поддържаната филтрация на дешифрирания трафик във версията, която наистина бихте внедрили.

Ако кандидат не може да отговори на втория въпрос с правило, което можете да прочетете, това не е границата, която искате, колкото и добре да прави всичко останало. Искайте текста на правилото вместо „да“ и третирайте неясния отговор като „не“.

Проверете пътя със заснемане, а не със схема

Схемата описва намерението, а заснемането описва поведението, затова потвърдете кой интерфейс носи ESP и кой носи вътрешния поток, преди да се доверите на което и да е от двете.

tcpdump -ni wan0 esp
tcpdump -ni lan0 host 10.60.4.20
ip xfrm policy list

Ако първото заснемане показва пристигащ ESP, а второто показва вътрешния пакет от страната на LAN, точката на дешифриране е там, където мислите. Ако вътрешният пакет се появи в сегмент, който заобикаля защитната стена, маршрутизирането е грешно, каквото и да казва текстът на политиката. Списъкът на xfrm тогава показва кои селектори са инсталирани и в каква посока.

Повторете заснемането по обратния път, защото асиметричното маршрутизиране е често, когато обектът има два възможни изхода. Тунел, който работи в едната посока и изтича в другата, почти винаги е това, и никакво редактиране на политиката от другата страна няма да го поправи.

Подобни статии