IPsec mezi dvěma hostiteli: kde ochrana začíná a kde končí
Dvojice hostitelů může chránit vybrané toky bez brány. Definujte koncové body, zásadu, která vybírá provoz, a oprávnění, která zůstávají oddělená.
Ochrana na dvojici hostitelů začíná tam, kde končí bezpečnostní asociace, a to je fakt, který většina intuice vystavěné na branách přehlíží. Aplikační server a jeho databázový server mohou svou vlastní konverzaci chránit přímo, bez jakéhokoli koncentrátoru vzdáleného přístupu v cestě, a hranice ochrany pak leží uvnitř každého hostitele, nikoli ve firewallu. Co vám to kupuje, je krytí od konce ke konci pro vybrané toky. Co vám to nekupuje, je rozhodnutí o tom, kdo smí číst který řádek.
Hranice je tam, kde končí SA
RFC 4301 popisuje bezpečnostní asociace v transportním režimu jako uspořádání obvykle používané mezi dvojicí hostitelů pro ochranu od konce ke konci. Tyto dva hostitelé drží klíče a každý z nich rozhoduje, které z jeho vlastních paketů do asociace vstoupí. Tunel brány končí úplně jinde a k hostiteli se dostává přes další interní segment, což je jiná hranice důvěry, i když je paket po většinu své cesty šifrovaný.
Hostitel-hostitel a transportní režim však nejsou synonyma. Dva hostitelé si mezi sebou mohou stejně správně postavit asociaci v tunelovém režimu, takže nejprve zvolte režim a potom popište koncové body. Zapište obojí do návrhové poznámky vedle adres protějšku, protože recenzent, který zná jen režim, bude předpokládat ten druhý.
SPD rozhoduje o ochraně, trasa rozhoduje o směru
Směrovací tabulka odpovídá na to, kam paket jde. Databáze bezpečnostní zásady odpovídá na to, jak vybraný provoz překračuje hranici ochrany, a činí tak pro každý směr s vlastními selektory. To rozdělení je důvod, proč funkční trasa k databázi nic nedokazuje o tom, zda byl požadavek chráněn, a proč navázané vyjednávání nic nedokazuje o tom, zda mu tato konkrétní aplikace odpovídala. Porovnejte selektory dříve, než porovnáte čítače, protože čítače popisují jen toky, které došly tak daleko.
V Linuxu ip xfrm policy vypisuje tyto položky s jejich směrem, prioritou, selektorem a akcí povolit, blokovat nebo zachytit, zatímco ip xfrm state ukazuje výsledné asociace a jejich čítače. Čtení obou dohromady je způsob, jak najdete tok, který tiše obešel tunel, protože jako první odpovídala širší položka povolení.
Pořadí priorit je součástí zásady, ne implementační detail. Úzká položka, která má chránit databázový port, prohrává se širší položkou s vyšší prioritou, a selhání vypadá, jako by se zásada nikdy nekonzultovala.
Transportní režim kryje další vrstvu, ne IP hlavičku
| Transport mode | Tunnel mode | |
|---|---|---|
| Original IP header | kept for routing the flow | replaced by an outer header |
| What ESP protects | the carried next-layer payload | the whole inner IP packet |
| Where it terminates | commonly the two hosts | gateway pair, or a host pair |
V transportním režimu sedí hlavička ESP mezi IP hlavičkou a užitečným zatížením a adresová pole této hlavičky zůstávají viditelná pro každé zařízení na cestě. To je v pořádku, když adresy nejsou tajemstvím a zatížení ano. Je to špatná volba, pokud potřebujete skrýt i vnitřní topologii, protože původní hlavičku zabalí do nové jen tunelový režim.
Oba režimy mohou nést několik protokolů další vrstvy a ESP ochrání to, co odpovídá selektoru, nikoli vše, co hostitel odešle.
Výběr je užší než spojení
Jediná asociace může nést více toků, ale jen ty, které zásada vybere. Zaznamenejte identity protějšků, zdrojové a cílové adresy, protokol a rozsah služeb pro vztah, který zamýšlíte, a potom samostatně rozhodněte, zda neodpovídající provoz smí jít otevřeně, musí být chráněn, nebo musí být zahozen, když asociace není dostupná. Právě to poslední rozhodnutí přináší překvapení, protože pravidlo vyžadující ochranu pro špatný zdroj může zablokovat váš vlastní přístup pro správu stejně účinně, jako blokuje vetřelce.
Dokud měníte vynucení, udržujte schválenou mimopásmovou cestu a otestujte ji dříve, než ji budete potřebovat, ne až poté, co se oba hostitelé stanou nedostupnými.
Identita stroje není oprávnění aplikace
IPsec ověřuje nakonfigurovaný protějšek a chrání vybrané pakety. Nerozhoduje o tom, který databázový záznam smí člověk upravit, a nemění důvěryhodnou identitu serveru v udělení všech oprávnění aplikace. Účty aplikace, role a autorizace zůstávají přesně tam, kde byly, a požadavek TLS na úrovni aplikace si drží svůj vlastní účel, i když je síťová cesta už chráněná.
Přijměte návrh s jednou operací ze zamýšleného zdroje a jednou, která musí být odmítnuta, a zahrňte, co se stane, když požadovanou asociaci nelze navázat. Běžný test dosažitelnosti vám řekne, že pakety se pohybují; neřekne vám, že se pohybovaly podle zásady, kterou jste napsali.