IPsec μεταξύ δύο διακομιστών: πού αρχίζει και πού σταματά η προστασία
Ένα ζεύγος διακομιστών μπορεί να προστατεύει επιλεγμένες ροές χωρίς πύλη. Καθορίστε τα τελικά σημεία, την πολιτική που επιλέγει την κίνηση και τα δικαιώματα που παραμένουν ξεχωριστά.
Η προστασία σε ένα ζεύγος διακομιστών αρχίζει εκεί όπου τελειώνει η ένωση ασφαλείας, και αυτό είναι το γεγονός που χάνει συχνότερα η διαίσθηση που έχει διαμορφωθεί από πύλες. Ένας διακομιστής εφαρμογών και ο διακομιστής βάσης δεδομένων του μπορούν να προστατεύσουν απευθείας τη δική τους συνομιλία, χωρίς κανέναν συγκεντρωτή απομακρυσμένης πρόσβασης στη διαδρομή, και το όριο προστασίας βρίσκεται τότε μέσα σε κάθε διακομιστή και όχι σε ένα τείχος προστασίας. Αυτό που σας δίνει είναι κάλυψη από άκρη σε άκρη για επιλεγμένες ροές. Αυτό που δεν σας δίνει είναι μια απόφαση για το ποιος μπορεί να διαβάσει ποια γραμμή.
Το όριο είναι εκεί όπου τελειώνει η SA
Το RFC 4301 περιγράφει τις ενώσεις ασφαλείας στη λειτουργία μεταφοράς ως τη διάταξη που χρησιμοποιείται συνήθως μεταξύ ενός ζεύγους διακομιστών για προστασία από άκρη σε άκρη. Αυτοί οι δύο διακομιστές κρατούν τα κλειδιά, και ο καθένας αποφασίζει ποια από τα δικά του πακέτα εισέρχονται στην ένωση. Μια σήραγγα πύλης τελειώνει εντελώς αλλού και φτάνει στον διακομιστή μέσω ενός πρόσθετου εσωτερικού τμήματος, που είναι διαφορετικό όριο εμπιστοσύνης ακόμη και όταν το πακέτο είναι κρυπτογραφημένο για το μεγαλύτερο μέρος της διαδρομής του.
Ο διακομιστής-προς-διακομιστή και η λειτουργία μεταφοράς δεν είναι ωστόσο συνώνυμα. Δύο διακομιστές μπορούν εξίσου σωστά να οικοδομήσουν μια ένωση σε λειτουργία σήραγγας μεταξύ τους, οπότε επιλέξτε πρώτα τη λειτουργία και μετά περιγράψτε τα τελικά σημεία. Γράψτε και τα δύο στη σημείωση σχεδιασμού δίπλα στις διευθύνσεις των ομοτίμων, γιατί ένας κριτικός που γνωρίζει μόνο τη λειτουργία θα υποθέσει την άλλη.
Η SPD αποφασίζει για την προστασία, η διαδρομή για την κατεύθυνση
Ένας πίνακας δρομολόγησης απαντά πού πηγαίνει ένα πακέτο. Η βάση δεδομένων πολιτικής ασφαλείας απαντά πώς η επιλεγμένη κίνηση διασχίζει το όριο προστασίας, και το κάνει για κάθε κατεύθυνση με τους δικούς της επιλογείς. Αυτός ο διαχωρισμός είναι ο λόγος που μια λειτουργική διαδρομή προς τη βάση δεδομένων δεν αποδεικνύει τίποτα για το αν το αίτημα ήταν προστατευμένο, και ο λόγος που μια εδραιωμένη διαπραγμάτευση δεν αποδεικνύει τίποτα για το αν αυτή η συγκεκριμένη εφαρμογή αντιστοιχούσε σε αυτήν. Συγκρίνετε τους επιλογείς πριν συγκρίνετε τους μετρητές, γιατί οι μετρητές περιγράφουν μόνο τις ροές που έφτασαν τόσο μακριά.
Στο Linux το ip xfrm policy εκτυπώνει αυτές τις εγγραφές με την κατεύθυνση, την προτεραιότητα, τον επιλογέα και τη δράση τους να επιτρέψει, να αποκλείσει ή να παγιδεύσει, ενώ το ip xfrm state δείχνει τις ενώσεις που προκύπτουν και τους μετρητές τους. Η ανάγνωση των δύο μαζί είναι ο τρόπος να βρείτε τη ροή που παρέκαμψε ήσυχα τη σήραγγα επειδή μια ευρύτερη εγγραφή άδειας αντιστοιχούσε πρώτη.
Η σειρά προτεραιότητας είναι μέρος της πολιτικής, όχι λεπτομέρεια υλοποίησης. Μια στενή εγγραφή που θα έπρεπε να προστατεύει τη θύρα της βάσης δεδομένων χάνει από μια ευρύτερη εγγραφή με υψηλότερη προτεραιότητα, και η αποτυχία μοιάζει σαν να μην ερωτήθηκε ποτέ η πολιτική.
Η λειτουργία μεταφοράς καλύπτει το επόμενο επίπεδο, όχι την κεφαλίδα IP
| Transport mode | Tunnel mode | |
|---|---|---|
| Original IP header | kept for routing the flow | replaced by an outer header |
| What ESP protects | the carried next-layer payload | the whole inner IP packet |
| Where it terminates | commonly the two hosts | gateway pair, or a host pair |
Στη λειτουργία μεταφοράς η κεφαλίδα ESP βρίσκεται ανάμεσα στην κεφαλίδα IP και το ωφέλιμο φορτίο, και τα πεδία διεύθυνσης αυτής της κεφαλίδας παραμένουν ορατά σε κάθε συσκευή της διαδρομής. Αυτό είναι εντάξει όταν οι διευθύνσεις δεν είναι το μυστικό και το φορτίο είναι. Είναι η λάθος επιλογή αν πρέπει επίσης να κρύψετε την εσωτερική τοπολογία, γιατί μόνο η λειτουργία σήραγγας τυλίγει την αρχική κεφαλίδα σε μια νέα.
Και οι δύο λειτουργίες μπορούν να μεταφέρουν πολλά πρωτόκολλα του επόμενου επιπέδου, και το ESP θα προστατεύσει ό,τι αντιστοιχεί στον επιλογέα και όχι ό,τι στέλνει ο διακομιστής.
Η επιλογή είναι στενότερη από τη σύνδεση
Μια μόνο ένωση μπορεί να μεταφέρει πολλές ροές, αλλά μόνο εκείνες που επιλέγει η πολιτική. Καταγράψτε τις ταυτότητες των ομοτίμων, τις διευθύνσεις προέλευσης και προορισμού, το πρωτόκολλο και το εύρος υπηρεσίας για τη σχέση που σκοπεύετε, και μετά αποφασίστε χωριστά αν η μη αντιστοιχούσα κίνηση μπορεί να περνά ανοιχτά, αν πρέπει να προστατεύεται ή αν πρέπει να απορρίπτεται όταν η ένωση δεν είναι διαθέσιμη. Είναι ακριβώς η τελευταία απόφαση που παράγει εκπλήξεις, γιατί ένας κανόνας που απαιτεί προστασία για τη λάθος προέλευση μπορεί να αποκλείσει την πρόσβαση διαχείρισής σας εξίσου αποτελεσματικά με το να αποκλείει έναν εισβολέα.
Κρατήστε μια εγκεκριμένη διαδρομή εκτός ζώνης όσο αλλάζετε την επιβολή, και δοκιμάστε την πριν τη χρειαστείτε και όχι αφού γίνουν και οι δύο διακομιστές μη προσβάσιμοι.
Η ταυτότητα της μηχανής δεν είναι άδεια εφαρμογής
Το IPsec πιστοποιεί έναν ρυθμισμένο ομότιμο και προστατεύει επιλεγμένα πακέτα. Δεν αποφασίζει ποια εγγραφή της βάσης δεδομένων μπορεί να επεξεργαστεί ένα πρόσωπο, και δεν μετατρέπει μια έμπιστη ταυτότητα διακομιστή σε παραχώρηση κάθε δικαιώματος εφαρμογής. Οι λογαριασμοί, οι ρόλοι και η εξουσιοδότηση της εφαρμογής μένουν ακριβώς εκεί που ήταν, και μια απαίτηση TLS σε επίπεδο εφαρμογής διατηρεί τον δικό της σκοπό ακόμη και όταν η διαδρομή δικτύου είναι ήδη προστατευμένη.
Δεχτείτε τον σχεδιασμό με μία λειτουργία από την προβλεπόμενη προέλευση και μία που πρέπει να απορριφθεί, και συμπεριλάβετε τι συμβαίνει όταν η απαιτούμενη ένωση δεν μπορεί να εδραιωθεί. Μια συνηθισμένη δοκιμή προσβασιμότητας σας λέει ότι τα πακέτα κινούνται· δεν σας λέει ότι κινήθηκαν υπό την πολιτική που γράψατε.