Kde končí vaše VPN mezi lokalitami, určuje, co se kontroluje

Zařízení, které dešifruje provoz mezi lokalitami, určuje, co firewall ještě může zkontrolovat. Nejprve nakreslete hranici a teprve potom vyberte router nebo firewall.

Tunel mezi lokalitami skrývá detail, který určuje celý návrh kontroly: přesné zařízení, na kterém se vnitřní paket objeví v otevřené podobě. Vše před tímto bodem vidí ESP a vše za ním vidí běžnou IP, na kterou může pravidlo zabrat. Umístěte hranici na špatné místo a firewall, za který jste zaplatili, se stane routerem s licencí. Následující postup nejprve nakreslí linii a teprve potom se ptá, které zařízení ji má vlastnit.

Nakreslete linii tam, kde paket přestává být šifrovaný

V tunelovém režimu se původní paket zašifruje a zabalí do nové vnější IP hlavičky adresované partnerské bráně. Tato vnější hlavička nese protokol 50 pro ESP, takže jakékoli zařízení mezi oběma branami ji může směrovat, aniž by četlo vnitřní adresy. První zařízení, které dešifruje, je bezpečnostní hranicí a zároveň prvním zařízením, které může na vnitřní tok uplatnit politiku. Vše níže od tohoto bodu je běžné směrování.

Na nákresu označte tři věci: vnější koncový bod, který přijímá ESP, chráněné sítě uvedené v politice, a další skok, který dešifrovaný paket udělá. Pokud tyto tři nejsou na stejném zařízení, máte k navržení předání, nikoli jediný kontrolní bod.

RFC 4301 nazývá dešifrující zařízení bezpečnostní bránou a jeho politiku považuje za součást hranice. To je užitečnější rámec než kategorie produktu, protože zařízení je hranicí tehdy, když drží politiku, ne když jeho datový list říká firewall.

Firewall jako ukončení: jedno zařízení, jeden bod politiky

Když firewall tunel ukončí, nadřazený router mu musí ESP jen doručit. Firewall ověří partnera, dešifruje a poté na vnitřní paket na cestě do serverového VLAN uplatní svá obvyklá pravidla. To dává jedno místo pro čtení politiky a jedno místo pro čtení logů, což audit obvykle vyžaduje.

Zkontrolujte obě oprávnění odděleně. Povolit IKE a ESP k zařízení není stejné pravidlo jako povolit vzdálené lokalitě dosáhnout serveru, a firewall, který tunel přijme a přitom zablokuje vnitřní tok, vypadá z druhého konce přesně jako rozbitý tunel.

Cena je, že firewall nyní leží na cestě veškerého provozu lokality, takže jeho propustnost, limity relací a chování při přepnutí se stávají chováním samotného tunelu. Dimenujte ho pro kombinované toky lokality, ne pro profil vzdáleného přístupu, pro který mohl být koupen.

Router jako ukončení: kontrolní skok se stává volitelným

Když router dešifruje, je paket při dosažení směrovací tabulky již v otevřené podobě. Pokud má tento provoz kontrolovat samostatný firewall, musí ho router poslat přes firewall a zpětná cesta se musí vrátit stejně. Přímá trasa z routeru do serverového VLAN tiše odstraní firewall z cesty, zatímco ho ponechá na nákresu.

To je závada, kterou je třeba v existující síti hledat: dvě trasy ke stejnému prefixu, jedna přes firewall a jedna přímá, přičemž přímá vyhrává podle délky prefixu nebo metriky. Tunel stále propouští provoz a kontrola, ve kterou věříte, se nekoná.

Tunely založené na trasách to zviditelňují, protože tunel je rozhraní, přes které lze směrovat přes jiné zařízení. Tunely založené na politikách vybírají provoz podle selektoru, což může nechat dešifrovaný paket na routeru bez jiného místa, kam jít.

Položte oběma kandidátům stejných pět otázek

Krátký pracovní list poráží matici funkcí, protože každá otázka odpovídá jedné linii na nákresu. Zeptejte se každého kandidáta:

  • Které verze IKE, které metody ověřování partnerů a které modely směrování tato verze skutečně podporuje?
  • Kde je ESP přijímáno a kde je dešifrovaný tok povolen nebo zakázán?
  • Jak se místní hostitelé učí vzdálené prefixy a jak se druhá strana učí ty vaše?
  • Jakou propustnost, počet relací a chování při přepnutí musí koncový bod zvládnout pro skutečnou zátěž?
  • Kdo vlastní přihlašovací údaje partnera, politiku a cestu obnovy, když je rozbitá věc právě tunel?

pfSense dokumentuje IPsec založený na politikách a IPsec založený na trasách jako samostatné modely se samostatnými omezeními, a tento rozdíl váží více než štítek na krabici. Zkontrolujte přesný režim a podporované filtrování dešifrovaného provozu ve verzi, kterou byste skutečně nasadili.

Pokud kandidát neumí odpovědět na druhou otázku pravidlem, které si můžete přečíst, není to hranice, kterou chcete, ať dělá cokoli jiného dobře. Žádejte text pravidla místo ano a vágní odpověď berte jako ne.

Ověřte cestu zachycením, ne nákresem

Nákres popisuje záměr a zachycení popisuje chování, takže potvrďte, které rozhraní nese ESP a které vnitřní tok, než jednomu z nich uvěříte.

tcpdump -ni wan0 esp
tcpdump -ni lan0 host 10.60.4.20
ip xfrm policy list

Pokud první zachycení ukazuje přicházející ESP a druhé ukazuje vnitřní paket na straně LAN, je bod dešifrování tam, kde si myslíte. Pokud se vnitřní paket objeví na segmentu, který obchází firewall, je směrování špatné, ať text politiky říká cokoli. Výpis xfrm pak ukazuje, které selektory jsou nainstalované a jakým směrem.

Zopakujte zachycení na zpětné cestě, protože asymetrické směrování je běžné, když má lokalita dva možné výstupy. Tunel, který funguje jedním směrem a v druhém vyprší, je téměř vždy toto, a žádná úprava politiky na druhé straně to nespraví.

Související články