Wo Ihr Standort-VPN endet, entscheidet, was inspiziert wird

Ein Standort-zu-Standort-Tunnel verbirgt ein Detail, das das gesamte Prüfdesign entscheidet: das genaue Gerät, auf dem das innere Paket im Klartext erscheint. Alles vor diesem Punkt sieht ESP, und alles danach sieht gewöhnliches IP, das eine Regel treffen kann. Setzen Sie die Grenze an die falsche Stelle, und die Firewall, für die Sie bezahlt haben, wird zu einem Router mit Lizenz. Die folgende Anleitung zieht zuerst die Linie und fragt erst danach, welche Box sie besitzen soll.

Ziehen Sie die Grenze dort, wo das Paket nicht mehr verschlüsselt ist

Im Tunnelmodus wird das ursprüngliche Paket verschlüsselt und in einen neuen äußeren IP-Header verpackt, der an das Peer-Gateway adressiert ist. Dieses äußere Paket trägt Protokoll 50 für ESP, sodass jedes Gerät zwischen den beiden Gateways es weiterleiten kann, ohne die inneren Adressen zu lesen. Das erste Gerät, das entschlüsselt, ist die Sicherheitsgrenze, und es ist zugleich das erste Gerät, das Richtlinien auf den inneren Datenfluss anwenden kann. Alles hinter diesem Punkt ist gewöhnliches Routing.

Markieren Sie drei Dinge in der Zeichnung: den externen Endpunkt, der ESP zulässt, die in der Richtlinie genannten geschützten Netze, und den nächsten Hop, den das entschlüsselte Paket nimmt. Wenn diese drei nicht auf demselben Gerät liegen, müssen Sie eine Übergabe entwerfen statt einen einzigen Kontrollpunkt.

RFC 4301 bezeichnet das entschlüsselnde Gerät als Sicherheitsgateway und behandelt seine Richtlinie als Teil der Grenze. Das ist ein nützlicheres Raster als die Produktkategorie, denn ein Gerät ist eine Grenze, wenn es die Richtlinie hält, nicht wenn auf seinem Datenblatt Firewall steht.

Firewall als Endpunkt: ein Gerät, ein Richtlinienpunkt

Wenn die Firewall den Tunnel beendet, muss der vorgelagerte Router ESP nur noch an sie ausliefern. Die Firewall authentifiziert den Peer, entschlüsselt und wendet dann ihre normalen Regeln auf das innere Paket auf dem Weg zum Server-VLAN an. Das ergibt eine Stelle zum Lesen der Richtlinie und eine Stelle zum Lesen der Protokolle, was ein Audit üblicherweise verlangt.

Prüfen Sie die beiden Berechtigungen getrennt. IKE und ESP zum Gerät zuzulassen ist nicht dieselbe Regel wie zuzulassen, dass ein entfernter Standort einen Server erreicht, und eine Firewall, die den Tunnel akzeptiert und dabei den inneren Datenfluss blockiert, sieht vom fernen Ende genau wie ein defekter Tunnel aus.

Der Preis dafür ist, dass die Firewall nun für den gesamten Standortverkehr auf dem Pfad liegt, sodass Durchsatz, Sitzungsgrenzen und Failover-Verhalten zu dem Verhalten des Tunnels selbst werden. Dimensionieren Sie sie für die kombinierten Standortströme und nicht für das Fernzugriffsprofil, für das sie vielleicht gekauft wurde.

Router als Endpunkt: die Prüfstrecke wird optional

Wenn der Router entschlüsselt, ist das Paket bereits im Klartext, wenn es die Routing-Tabelle erreicht. Wenn eine separate Firewall diesen Verkehr prüfen soll, muss der Router ihn durch die Firewall senden, und der Rückweg muss auf demselben Weg zurückkommen. Eine direkte Route vom Router zum Server-VLAN entfernt die Firewall stillschweigend aus dem Pfad und lässt sie im Diagramm stehen.

Das ist der Fehler, nach dem Sie in einem bestehenden Netz suchen sollten: zwei Routen zum selben Präfix, eine durch die Firewall und eine direkte, wobei die direkte über Präfixlänge oder Metrik gewinnt. Der Tunnel befördert weiterhin Verkehr, und die Prüfung, an die Sie glauben, findet nicht statt.

Routbasierte Tunnel machen das sichtbar, denn der Tunnel ist eine Schnittstelle, durch die Sie über ein anderes Gerät routen können. Richtlinienbasierte Tunnel wählen Verkehr per Selektor aus, was das entschlüsselte Paket auf dem Router lassen kann, ohne dass es noch einen anderen Weg gibt.

Stellen Sie beiden Kandidaten dieselben fünf Fragen

Ein kurzes Arbeitsblatt schlägt eine Funktionsmatrix, denn jede Frage entspricht einer Linie in der Zeichnung. Fragen Sie jeden Kandidaten:

• Welche IKE-Versionen, Peer-Authentifizierungsmethoden und Routing-Modelle unterstützt diese Version tatsächlich?
• Wo wird ESP zugelassen, und wo wird der entschlüsselte Datenfluss erlaubt oder verweigert?
• Wie lernen lokale Hosts die entfernten Präfixe, und wie lernt die Gegenseite Ihre?
• Welchen Durchsatz, welche Sitzungsanzahl und welches Failover-Verhalten muss der Endpunkt für die echte Arbeitslast aushalten?
• Wer verantwortet die Peer-Anmeldeinformationen, die Richtlinie und den Wiederherstellungspfad, wenn der Tunnel das defekte Teil ist?

pfSense dokumentiert richtlinienbasierte und routbasierte IPsec als getrennte Modelle mit getrennten Einschränkungen, und dieser Unterschied zählt mehr als das Etikett auf der Box. Prüfen Sie den genauen Modus und die unterstützte Filterung entschlüsselten Verkehrs in der Version, die Sie tatsächlich einsetzen würden.

Wenn ein Kandidat die zweite Frage nicht mit einer Regel beantworten kann, die Sie lesen können, ist er nicht die Grenze, die Sie wollen, was auch immer er sonst gut macht. Verlangen Sie den Regeltext statt eines Ja, und behandeln Sie eine vage Antwort als Nein.

Prüfen Sie den Pfad mit einem Mitschnitt, nicht mit dem Diagramm

Ein Diagramm beschreibt die Absicht und ein Mitschnitt beschreibt das Verhalten, also bestätigen Sie, welche Schnittstelle ESP und welche den inneren Datenfluss trägt, bevor Sie einem von beiden trauen.

tcpdump -ni wan0 esp
tcpdump -ni lan0 host 10.60.4.20
ip xfrm policy list

Wenn der erste Mitschnitt zeigt, dass ESP ankommt, und der zweite zeigt, dass das innere Paket auf der LAN-Seite liegt, ist der Entschlüsselungspunkt dort, wo Sie ihn vermuten. Wenn das innere Paket auf einem Segment erscheint, das die Firewall umgeht, ist das Routing falsch, egal was der Richtlinientext sagt. Die xfrm-Auflistung zeigt dann, welche Selektoren installiert sind und in welche Richtung.

Wiederholen Sie den Mitschnitt auf dem Rückweg, denn asymmetrisches Routing ist üblich, wenn ein Standort zwei mögliche Ausgänge hat. Ein Tunnel, der in eine Richtung funktioniert und in der anderen in eine Zeitüberschreitung läuft, ist fast immer genau das, und keine Bearbeitung der Richtlinie auf der Gegenseite behebt es.