Lle mae VPN eich safle'n gorffen sy'n penderfynu beth sy'n cael ei archwilio

Mae twnnel rhwng safleoedd yn cuddio un manylyn sy'n penderfynu'r holl gynllun archwilio: yr union ddyfais lle mae'r pecyn mewnol yn ymddangos yn glir. Mae popeth cyn y pwynt hwnnw'n gweld ESP, ac mae popeth ar ei ôl yn gweld IP cyffredin y gall rheol ei ddal. Rhowch y ffin yn y lle anghywir a bydd y mur tân y gwnaethoch dalu amdano'n dod yn llwybrydd â thrwydded. Mae'r daith isod yn tynnu'r llinell yn gyntaf ac yn gofyn wedyn pa ddyfais ddylai ei pherchenogi.

Tynnwch y llinell lle mae'r pecyn yn peidio â chael ei amgryptio

Yn y modd twnnel, mae'r pecyn gwreiddiol yn cael ei amgryptio a'i lapio mewn pennawd IP allanol newydd sy'n cyfeiriadwyd at y porth partner. Mae'r pecyn allanol hwnnw'n cario protocol 50 ar gyfer ESP, felly gall unrhyw ddyfais rhwng y ddau borth ei lwybro heb ddarllen y cyfeiriadau mewnol. Y ddyfais gyntaf sy'n dadgryptio yw'r ffin ddiogelwch, a hi hefyd yw'r ddyfais gyntaf sy'n gallu cymhwyso polisi i'r llif mewnol. Mae popeth islaw'r pwynt hwnnw'n llwybro cyffredin.

Marciwch dri pheth ar y diagram: y pwynt allanol sy'n derbyn ESP, y rhwydweithiau gwarchodedig a enwir yn y polisi, a'r naid nesaf y mae'r pecyn dadgryptiedig yn ei chymryd. Os nad yw'r tri hyn ar yr un ddyfais, mae gennych drosglwyddiad i'w gynllunio, nid un pwynt rheoli.

Mae RFC 4301 yn galw'r ddyfais sy'n dadgryptio yn borth diogelwch ac yn trin ei pholisi fel rhan o'r ffin. Mae hwn yn fframwaith mwy defnyddiol na'r categori cynnyrch, oherwydd mae dyfais yn ffin pan mae'n dal y polisi, nid pan mae ei thaflen ddata'n dweud mur tân.

Mur tân fel terfyn: un ddyfais, un pwynt polisi

Pan fydd y mur tân yn gorffen y twnnel, dim ond angen i'r llwybrydd uwch ei ddanfon ESP. Mae'r mur tân yn dilysu'r partner, yn dadgryptio, ac yna'n cymhwyso ei reolau arferol i'r pecyn mewnol ar y ffordd i VLAN y gweinyddion. Mae hyn yn rhoi un lle i ddarllen polisi ac un lle i ddarllen logiau, sef yr hyn y mae archwiliad fel arfer yn ei ofyn.

Gwiriwch y ddwy ganiatâd ar wahân. Nid yw caniatáu IKE a ESP i'r ddyfais yr un rheol â chaniatáu i safle pell gyrraedd gweinydd, ac mae mur tân sy'n derbyn y twnnel tra'n rhwystro'r llif mewnol yn edrych yn union fel twnnel wedi torri o'r pen pellaf.

Y gost yw bod y mur tân bellach ar lwybr holl draffig y safle, felly mae ei drwglwyfedd, ei derfynau sesiwn a'i ymddygiad wrth droi drosodd yn dod yn ymddygiad y twnnel ei hun. Maintiwch ef ar gyfer llifau cyfunol y safle, nid ar gyfer y proffil mynediad o bell y gwnaethpwyd ei brynu ar ei gyfer o bosibl.

Llwybrydd fel terfyn: daw'r naid archwilio'n ddewisol

Pan fydd y llwybrydd yn dadgryptio, mae'r pecyn yn glir eisoes pan mae'n cyrraedd y tabl llwybro. Os oes rhaid i fur tân ar wahân archwilio'r traffig hwnnw, rhaid i'r llwybrydd ei anfon trwy'r mur tân ac mae'n rhaid i'r llwybr dychwelyd ddod yn ôl yr un ffordd. Mae llwybr uniongyrchol o'r llwybrydd i VLAN y gweinyddion yn tynnu'r mur tân oddi ar y llwybr yn dawel tra'n ei adael ar y diagram.

Dyma'r methiant i chwilio amdano mewn rhwydwaith sy'n bodoli: dau lwybr i'r un rhagddodiad, un trwy'r mur tân ac un yn uniongyrchol, a'r un uniongyrchol yn ennill ar hyd y rhagddodiad neu ar fetrig. Mae'r twnnel yn dal i basio traffig ac nid yw'r archwiliad y credwch ynddo yn digwydd.

Mae twneli sy'n seiliedig ar lwybrau yn gwneud hyn yn weladwy, oherwydd mae'r twnnel yn rhyngwyneb y gallwch lwybro trwyddo trwy ddyfais arall. Mae twneli sy'n seiliedig ar bolisi yn dewis traffig â dewisydd, a allai adael y pecyn dadgryptiedig ar y llwybrydd heb unman arall i fynd.

Gofynnwch yr un cwestiynau pump i'r ddau ymgeisydd

Mae taflen waith fer yn curo matrics nodweddion, oherwydd mae pob cwestiwn yn mapio i un llinell ar y diagram. Gofynnwch i bob ymgeisydd:

• Pa fersiynau IKE, pa ddulliau dilysu partner a pha fodelau llwybro y mae'r rhyddhad hwn yn ei gefnogi mewn gwirionedd?
• Ble mae ESP yn cael ei dderbyn, a ble mae'r llif dadgryptiedig yn cael ei ganiatáu neu ei wrthod?
• Sut mae gwesteiwyr lleol yn dysgu'r rhagddodiaid pell, a sut mae'r ochr bell yn dysgu eich rhai chi?
• Pa drwglwyfedd, cyfrif sesiwn a pha ymddygiad wrth droi drosodd y mae'n rhaid i'r pwynt terfynol ei oddef ar gyfer y llwyth gwaith go iawn?
• Pwy sy'n berchen ar gredydu'r partner, y polisi a'r llwybr adfer pan mai'r twnnel yw'r peth sydd wedi torri?

Mae pfSense yn dogfennu IPsec sy'n seiliedig ar bolisi ac ar lwybrau fel modelau ar wahân â chyfyngiadau ar wahân, ac mae'r gwahaniaeth hwnnw'n cyfrif mwy na'r label ar y blwch. Gwiriwch y modd union a'r hidlo a gefnogir ar gyfer traffig dadgryptiedig yn y rhyddhad y byddech chi'n ei ddefnyddio mewn gwirionedd.

Os na all ymgeisydd ateb yr ail gwestiwn â rheol y gallwch ei darllen, nid dyma'r ffin rydych chi ei eisiau, waeth pa mor dda y mae'n gwneud popeth arall. Gofynnwch am destun y rheol yn lle ie, a thriniwch ateb annelwig fel na.

Gwiriwch y llwybr â chipio, nid â'r diagram

Mae diagram yn disgrifio bwriad ac mae chipio'n disgrifio ymddygiad, felly cadarnhewch ba ryngwyneb sy'n cario ESP a pha un sy'n cario'r llif mewnol cyn ymddiried yn y naill na'r llall.

tcpdump -ni wan0 esp
tcpdump -ni lan0 host 10.60.4.20
ip xfrm policy list

Os yw'r chipio cyntaf yn dangos ESP yn cyrraedd a'r ail yn dangos y pecyn mewnol ar ochr LAN, mae'r pwynt dadgryptio lle rydych chi'n meddwl. Os yw'r pecyn mewnol yn ymddangos ar segment sy'n osgoi'r mur tân, mae'r llwybro'n anghywir, beth bynnag mae testun y polisi'n ei ddweud. Mae'r rhestr xfrm wedyn yn dangos pa ddewiswyr sydd wedi'u gosod ac i ba gyfeiriad.

Ailadroddwch y chipio ar y llwybr dychwelyd, oherwydd mae llwybro anghymesur yn gyffredin pan mae gan safle ddau allanfa bosibl. Mae twnnel sy'n gweithio i un cyfeiriad ac yn gorffen â therfyn amser yn y cyfeiriad arall bron bob amser yn hyn, ac nid oes unrhyw olygu polisi ar yr ochr bell yn ei drwsio.