On acaba la VPN del vostre lloc decideix què s'inspecciona

Un túnel entre llocs amaga un detall que decideix tot el disseny de la inspecció: el dispositiu exacte on el paquet intern apareix en clar. Tot el que hi ha abans d'aquest punt veu ESP, i tot el que hi ha després veu IP normal que una regla pot capturar. Posa la frontera al lloc equivocat i el tallafoc pel qual vas pagar es converteix en un encaminador amb llicència. La guia de sota traça primer la línia i només després pregunta quin equip l'ha de posseir.

Traceu la línia on el paquet deixa d'estar xifrat

En mode túnel el paquet original es xifra i s'embolcalla en una nova capçalera IP externa adreçada a la passarel·la companya. Aquesta capçalera externa porta el protocol 50 per a ESP, així que qualsevol dispositiu entre les dues passarel·les pot encaminar-lo sense llegir les adreces internes. El primer dispositiu que desxifra és la frontera de seguretat, i també és el primer que pot aplicar polítiques al flux intern. Tot el que queda aigües avall d'aquest punt és encaminament normal.

Marqueu tres coses al dibuix: el punt final extern que admet ESP, les xarxes protegides esmentades a la política, i el següent salt que fa el paquet desxifrat. Si aquests tres no són al mateix dispositiu, teniu una entrega per dissenyar, no un únic punt de control.

RFC 4301 anomena el dispositiu que desxifra passarel·la de seguretat i tracta la seva política com a part de la frontera. Aquest és un marc més útil que la categoria de producte, perquè un dispositiu és frontera quan té la política, no quan la seva fitxa tècnica di tallafoc.

Tallafoc com a terminació: un dispositiu, un punt de política

Quan el tallafoc acaba el túnel, l'encaminador de dalt només ha de lliurar-li ESP. El tallafoc autentica el company, desxifra i després aplica les seves regles habituals al paquet intern de camí a la VLAN dels servidors. Això dona un lloc únic per llegir la política i un lloc únic per llegir els registres, que és el que sol demanar una auditoria.

Comproveu els dos permisos per separat. Permetre IKE i ESP cap al dispositiu no és la mateixa regla que permetre que un lloc remot arribi a un servidor, i un tallafoc que accepta el túnel mentre bloqueja el flux intern sembla exactament un túnel trencat des de l'extrem remot.

El cost és que el tallafoc ara és al camí de tot el trànsit del lloc, així que el seu rendiment, els límits de sessió i el comportament de commutació per error passen a ser els del mateix túnel. Dimensioneu-lo per als fluxos combinats del lloc, no per al perfil d'accés remot pel qual potser es va comprar.

Encaminador com a terminació: el salt d'inspecció es torna opcional

Quan l'encaminador desxifra, el paquet ja és clar quan arriba a la taula d'encaminament. Si un tallafoc a part ha d'inspeccionar aquest trànsit, l'encaminador l'ha d'enviar a través del tallafoc i la ruta de tornada ha de tornar de la mateixa manera. Una ruta directa de l'encaminador a la VLAN dels servidors treu el tallafoc del camí sense fer soroll, però el deixa al diagrama.

Aquesta és la fallada que cal buscar en una xarxa existent: dues rutes al mateix prefix, una pel tallafoc i una directa, i la directa guanya per longitud del prefix o per mètrica. El túnel continua passant trànsit i la inspecció en què creieu no passa.

Els túnels basats en rutes fan això visible, perquè el túnel és una interfície per la qual podeu encaminar a través d'un altre dispositiu. Els túnels basats en polítiques seleccionen el trànsit per selector, cosa que pot deixar el paquet desxifrat a l'encaminador sense cap altre destí.

Feu les mateixes cinc preguntes als dos candidats

Un full de treball curt guanya una matriu de funcions, perquè cada pregunta correspon a una línia del dibuix. Pregunteu a cada candidat:

• Quines versions d'IKE, quins mètodes d'autenticació de companys i quins models d'encaminament admet realment aquesta versió?
• On s'admet ESP i on es permet o es denega el flux desxifrat?
• Com aprenen els equips locals els prefixos remots i com aprèn l'extrem remot els vostres?
• Quin rendiment, quantes sessions i quin comportament de commutació per error ha de suportar el punt final per a la càrrega real?
• Qui és responsable de les credencials del company, de la política i de la ruta de recuperació quan el túnel és el que està trencat?

pfSense documenta IPsec basat en polítiques i basat en rutes com a models separats amb restriccions separades, i aquesta diferència importa més que l'etiqueta de la caixa. Comproveu el mode exacte i el filtratge admès del trànsit desxifrat en la versió que realment desplegaríeu.

Si un candidat no pot respondre la segona pregunta amb una regla que pugueu llegir, no és la frontera que voleu, per bé que faci tota la resta. Demaneu el text de la regla en lloc d'un sí, i tracteu una resposta vaga com un no.

Verifiqueu la ruta amb una captura, no amb el diagrama

Un diagrama descriu la intenció i una captura descriu el comportament, així que confirmeu quina interfície porta ESP i quina porta el flux intern abans de confiar en una de les dues.

tcpdump -ni wan0 esp
tcpdump -ni lan0 host 10.60.4.20
ip xfrm policy list

Si la primera captura mostra ESP arribant i la segona mostra el paquet intern al costat LAN, el punt de desxifrat és on penseu. Si el paquet intern apareix en un segment que evita el tallafoc, l'encaminament és incorrecte, digui el que digui el text de la política. El llistat d'xfrm mostra llavors quins selectors hi ha instal·lats i en quina direcció.

Repetiu la captura a la ruta de tornada, perquè l'encaminament asimètric és habitual quan un lloc té dues sortides possibles. Un túnel que funciona en una direcció i caduca en l'altra és gairebé sempre això, i cap edició de la política a l'extrem remot ho arregla.