Hvor din site-VPN slutter, afgør hvad der bliver inspiceret

Enheden, der dekrypterer trafik mellem sites, afgør, hvad firewallen stadig kan inspicere. Tegn først grænsen, og vælg derefter en router eller en firewall.

En site-til-site-tunnel skjuler en detalje, der afgør hele inspektionsdesignet: den præcise enhed, hvor den indre pakke fremstår i klartekst. Alt før det punkt ser ESP, og alt efter det ser almindelig IP, som en regel kan matche. Sæt grænsen det forkerte sted, og den firewall, du har betalt for, bliver en router med en licens. Gennemgangen nedenfor tegner først linjen og spørger først derefter, hvilken boks der skal eje den.

Tegn linjen, hvor pakken ikke længere er krypteret

I tunnelmode krypteres den oprindelige pakke og pakkes ind i en ny ydre IP-header, der er adresseret til peer-gatewayen. Den ydre pakke bærer protokol 50 til ESP, så enhver enhed mellem de to gateways kan route den uden at læse de indre adresser. Den første enhed, der dekrypterer, er sikkerhedsgrænsen, og det er også den første enhed, der kan anvende politik på den indre strøm. Alt nedstrøms for det punkt er almindelig routing.

Markér tre ting på tegningen: det eksterne endepunkt, der lukker ESP ind, de beskyttede netværk, der er nævnt i politikken, og det næste hop, som den dekrypterede pakke tager. Hvis de tre ikke er på samme enhed, har du en overdragelse, der skal designes, i stedet for et enkelt kontrolpunkt.

RFC 4301 kalder den dekrypterende enhed en sikkerhedsgateway og behandler dens politik som en del af grænsen. Det er en mere brugbar ramme end produktkategorien, fordi en enhed er en grænse, når den holder politikken, ikke når dens datablad siger firewall.

Firewall som endepunkt: én enhed, ét politikpunkt

Når firewallen afslutter tunnelen, skal den upstream router kun aflevere ESP til den. Firewallen autentificerer peeren, dekrypterer og anvender derefter sine normale regler på den indre pakke på vej til server-VLAN'et. Det giver ét sted at læse politik og ét sted at læse logfiler, hvilket normalt er, hvad en revision beder om.

Kontrollér de to tilladelser hver for sig. At tillade IKE og ESP til enheden er ikke den samme regel som at tillade et fjernsites adgang til en server, og en firewall, der accepterer tunnelen, mens den blokerer den indre strøm, ser præcis ud som en brudt tunnel fra den anden ende.

Prisen er, at firewallen nu ligger på vejen for al sitetrafik, så dens gennemstrømning, sessionsgrænser og failoveradfærd bliver selve tunnelens adfærd. Dimensionér den til de kombinerede sitestrømme og ikke til den fjernadgangsprofil, den måske er købt til.

Router som endepunkt: inspektionshoppet bliver valgfrit

Når routeren dekrypterer, er pakken allerede i klartekst, når den når routingtabellen. Hvis en separat firewall skal inspicere den trafik, skal routeren sende den gennem firewallen, og returvejen skal komme tilbage samme vej. En direkte rute fra routeren til server-VLAN'et fjerner stille firewallen fra vejen, mens den bliver stående på tegningen.

Det er fejlen, du skal lede efter i et eksisterende netværk: to ruter til samme præfiks, én gennem firewallen og én direkte, hvor den direkte vinder på præfikslængde eller metrik. Tunnelen sender stadig trafik, og den inspektion, du tror på, finder ikke sted.

Rutebaserede tunneler gør dette synligt, fordi tunnelen er et interface, du kan route gennem en anden enhed. Politikbaserede tunneler vælger trafik efter selector, hvilket kan efterlade den dekrypterede pakke på routeren uden andre steder at gå hen.

Stil begge kandidater de samme fem spørgsmål

Et kort arbejdsark slår en funktionsmatrix, fordi hvert spørgsmål svarer til en linje på tegningen. Spørg hver kandidat:

  • Hvilke IKE-versioner, hvilke peer-autentificeringsmetoder og routingmodeller understøtter denne version faktisk?
  • Hvor lukkes ESP ind, og hvor tillades eller afvises den dekrypterede strøm?
  • Hvordan lærer lokale hosts de eksterne præfikser, og hvordan lærer den anden side dine?
  • Hvilken gennemstrømning, hvor mange sessioner og hvilken failoveradfærd skal endepunktet kunne holde til den reelle arbejdsbelastning?
  • Hvem ejer peer-legitimationsoplysningerne, politikken og gendannelsesvejen, når tunnelen er det defekte?

pfSense dokumenterer politikbaseret og rutebaseret IPsec som separate modeller med separate begrænsninger, og den forskel betyder mere end etiketten på boksen. Kontrollér den præcise tilstand og den understøttede filtrering af dekrypteret trafik i den version, du faktisk ville udrulle.

Hvis en kandidat ikke kan besvare det andet spørgsmål med en regel, du kan læse, er det ikke den grænse, du vil have, uanset hvor godt den gør alt andet. Bed om regelteksten i stedet for et ja, og behandl et vagt svar som et nej.

Verificér vejen med en optagelse, ikke med tegningen

En tegning beskriver hensigten, og en optagelse beskriver adfærden, så bekræft, hvilket interface der bærer ESP, og hvilket der bærer den indre strøm, før du tror på nogen af dem.

tcpdump -ni wan0 esp
tcpdump -ni lan0 host 10.60.4.20
ip xfrm policy list

Hvis den første optagelse viser ESP, der ankommer, og den anden viser den indre pakke på LAN-siden, er dekrypteringspunktet, hvor du tror. Hvis den indre pakke vises på et segment, der omgår firewallen, er routingen forkert, uanset hvad politikteksten siger. xfrm-listen viser derefter, hvilke selectors der er installeret, og i hvilken retning.

Gentag optagelsen på returvejen, fordi asymmetrisk routing er almindelig, når en site har to mulige udgange. En tunnel, der virker i den ene retning og udløber i den anden, er næsten altid dette, og ingen redigering af politikken på den anden side retter det.

Relaterede artikler