IPsec između dva hosta: gdje zaštita počinje i gdje prestaje

Zaštita na paru hostova počinje tamo gdje sigurnosna asocijacija završava, i to je činjenica koju intuicija oblikovana pristupnicima najčešće promašuje. Server aplikacije i njegov server baze podataka mogu direktno štititi vlastiti razgovor, bez ijednog koncentratora za daljinski pristup na putu, i granica zaštite tada leži unutar svakog hosta, a ne u vatrozidu. Ono što to donosi jest pokrivenost od kraja do kraja za odabrane tokove. Ono što to ne donosi jest odluka o tome ko smije čitati koji redak.

Granica je tamo gdje SA završava

RFC 4301 opisuje sigurnosne asocijacije u transportnom načinu kao raspored koji se obično koristi između para hostova za zaštitu od kraja do kraja. Ta dva hosta drže ključeve i svaki odlučuje koji njegovi vlastiti paketi ulaze u asocijaciju. Tunel pristupnika završava sasvim drugdje i dolazi do hosta kroz dodatni unutrašnji segment, što je druga granica povjerenja čak i kada je paket šifrovan veći dio svog puta.

Host-na-host i transportni način ipak nisu sinonimi. Dva hosta mogu jednako ispravno izgraditi asocijaciju u tunelskom načinu između sebe, pa najprije odaberite način, a zatim opišite krajnje tačke. Upišite oboje u projektnu bilješku uz adrese partnera, jer će recenzent koji poznaje samo način pretpostaviti onaj drugi.

SPD odlučuje o zaštiti, ruta odlučuje o smjeru

Tablica usmjeravanja odgovara na to kamo paket ide. Baza sigurnosnih pravila odgovara na to kako odabrani promet prelazi granicu zaštite, i to čini po smjeru s vlastitim selektorima. Ta podjela razlog je zašto funkcionalna ruta do baze podataka ništa ne dokazuje o tome je li zahtjev bio zaštićen, i zašto uspostavljeno pregovaranje ništa ne dokazuje o tome je li se ovaj konkretni zahtjev poklopio s njim. Uporedite selektore prije nego uporedite brojače, jer brojači opisuju samo tokove koji su stigli tako daleko.

Na Linuxu ip xfrm policy ispisuje te unose s njihovim smjerom, prioritetom, selektorom i radnjom dopusti, blokiraj ili uhvati, dok ip xfrm state prikazuje rezultirajuće asocijacije i njihove brojače. Čitanje obojega zajedno način je da pronađete tok koji je tiho zaobišao tunel jer se širi unos dozvole poklopio prvi.

Redoslijed prioriteta dio je pravila, a ne pojedinost provedbe. Uski unos koji bi trebao štititi port baze podataka gubi od šireg unosa s višim prioritetom, a kvar izgleda kao da pravilo nikada nije konsultovano.

Transportni način pokriva sljedeći sloj, ne IP zaglavlje

U transportnom načinu ESP zaglavlje sjedi između IP zaglavlja i korisnog tereta, a adresna polja tog zaglavlja ostaju vidljiva svakom uređaju na putu. To je u redu kada adrese nisu tajna, a korisni teret jest. To je pogrešan izbor ako trebate sakriti i unutrašnju topologiju, jer samo tunelski način zamata izvorno zaglavlje u novo.

Oba načina mogu nositi nekoliko protokola sljedećeg sloja, a ESP će štititi ono što selektor odabere, a ne sve što host pošalje.

Odabir je uži od veze

Jedna asocijacija može nositi više tokova, ali samo one koje pravilo odabire. Zabilježite identitete partnera, izvorne i odredišne adrese, protokol i opseg usluge za odnos koji namjeravate, a zatim odvojeno odlučite smije li nepodudarajući promet ići otvoreno, mora li biti zaštićen ili mora biti odbačen kada asocijacija nije dostupna. Upravo ta posljednja odluka stvara iznenađenja, jer pravilo koje zahtijeva zaštitu za pogrešan izvor može blokirati vaš vlastiti pristup za upravljanje jednako djelotvorno kao što blokira uljeza.

Držite odobren izvanpojasni put dok mijenjate provedbu i testirajte ga prije nego što vam zatreba, a ne nakon što oba hosta postanu nedostupna.

Identitet mašine nije dozvola aplikacije

IPsec provjerava konfigurisanog partnera i štiti odabrane pakete. Ne odlučuje koji zapis u bazi podataka osoba smije uređivati i ne pretvara pouzdan identitet servera u dodjelu svih aplikacijskih ovlasti. Računi aplikacije, uloge i autorizacija ostaju tačno tamo gdje su bili, a zahtjev za TLS na nivou aplikacije zadržava vlastitu svrhu čak i kada je mrežni put već zaštićen.

Prihvatite projekat s jednom operacijom s predviđenog izvora i jednom koju treba odbiti, i uključite šta se događa kada se tražena asocijacija ne može uspostaviti. Uobičajen test dostupnosti kaže vam da se paketi kreću; ne kaže vam da su se kretali po pravilu koje ste napisali.