Το πού τερματίζεται το VPN του ιστότοπού σας καθορίζει τι ελέγχεται

Μια σήραγγα μεταξύ τοποθεσιών κρύβει μια λεπτομέρεια που καθορίζει όλο τον σχεδιασμό του ελέγχου: τη συσκευή όπου το εσωτερικό πακέτο εμφανίζεται σε καθαρή μορφή. Ό,τι βρίσκεται πριν από αυτό το σημείο βλέπει ESP, και ό,τι βρίσκεται μετά βλέπει κοινή IP που ένας κανόνας μπορεί να πιάσει. Βάλτε τα όρια σε λάθος σημείο και το τείχος προστασίας που πληρώσατε γίνεται ένας δρομολογητής με άδεια. Η παρακάτω διαδρομή χαράζει πρώτα τη γραμμή και μόνο μετά ρωτά ποια συσκευή πρέπει να την κατέχει.

Χαράξτε τη γραμμή εκεί όπου το πακέτο παύει να είναι κρυπτογραφημένο

Στη λειτουργία σήραγγας το αρχικό πακέτο κρυπτογραφείται και τυλίγεται σε μια νέα εξωτερική κεφαλίδα IP που απευθύνεται στην πύλη του ομολόγου. Το εξωτερικό πακέτο μεταφέρει το πρωτόκολλο 50 για το ESP, οπότε κάθε συσκευή ανάμεσα στις δύο πύλες μπορεί να το δρομολογήσει χωρίς να διαβάσει τις εσωτερικές διευθύνσεις. Η πρώτη συσκευή που αποκρυπτογραφεί είναι το όριο ασφαλείας και είναι επίσης η πρώτη που μπορεί να εφαρμόσει πολιτική στην εσωτερική ροή. Ό,τι βρίσκεται κατάντη αυτού του σημείου είναι κοινή δρομολόγηση.

Σημειώστε τρία πράγματα στο σχέδιο: το εξωτερικό τελικό σημείο που δέχεται ESP, τα προστατευμένα δίκτυα που ονομάζονται στην πολιτική, και το επόμενο άλμα που κάνει το αποκρυπτογραφημένο πακέτο. Αν αυτά τα τρία δεν βρίσκονται στην ίδια συσκευή, έχετε μια παράδοση να σχεδιάσετε και όχι ένα μόνο σημείο ελέγχου.

Το RFC 4301 ονομάζει τη συσκευή που αποκρυπτογραφεί πύλη ασφαλείας και αντιμετωπίζει την πολιτική της ως μέρος των ορίων. Είναι πιο χρήσιμο πλαίσιο από την κατηγορία προϊόντος, γιατί μια συσκευή είναι όριο όταν κρατά την πολιτική, όχι όταν το φύλλο δεδομένων της λέει τείχος προστασίας.

Τείχος προστασίας ως τερματισμός: μία συσκευή, ένα σημείο πολιτικής

Όταν το τείχος προστασίας τερματίζει τη σήραγγα, ο δρομολογητής ανάντη χρειάζεται μόνο να του παραδώσει το ESP. Το τείχος επαληθεύει τον ομόλογο, αποκρυπτογραφεί και μετά εφαρμόζει τους συνήθεις κανόνες του στο εσωτερικό πακέτο στην πορεία προς το VLAN των διακομιστών. Έτσι υπάρχει ένα σημείο για ανάγνωση πολιτικής και ένα για ανάγνωση αρχείων καταγραφής, που είναι συνήθως αυτό που ζητά ένας έλεγχος.

Ελέγξτε τις δύο άδειες χωριστά. Το να επιτρέπετε IKE και ESP προς τη συσκευή δεν είναι ο ίδιος κανόνας με το να επιτρέπετε σε μια απομακρυσμένη τοποθεσία να φτάσει έναν διακομιστή, και ένα τείχος που δέχεται τη σήραγγα ενώ μπλοκάρει την εσωτερική ροή μοιάζει από την άλλη άκρη ακριβώς με σπασμένη σήραγγα.

Το κόστος είναι ότι το τείχος βρίσκεται τώρα στη διαδρομή όλης της κίνησης της τοποθεσίας, οπότε η διαμεταγωγή, τα όρια συνεδριών και η συμπεριφορά ανακατεύθυνσης γίνονται η συμπεριφορά της ίδιας της σήραγγας. Διαστασιολογήστε το για τις συνδυασμένες ροές της τοποθεσίας και όχι για το προφίλ απομακρυσμένης πρόσβασης για το οποίο ίσως αγοράστηκε.

Δρομολογητής ως τερματισμός: το άλμα ελέγχου γίνεται προαιρετικό

Όταν ο δρομολογητής αποκρυπτογραφεί, το πακέτο είναι ήδη καθαρό όταν φτάνει στον πίνακα δρομολόγησης. Αν ένα ξεχωριστό τείχος προστασίας πρέπει να ελέγχει αυτή την κίνηση, ο δρομολογητής πρέπει να τη στείλει μέσα από το τείχος και η διαδρομή επιστροφής πρέπει να γυρίσει με τον ίδιο τρόπο. Μια άμεση διαδρομή από τον δρομολογητή στο VLAN των διακομιστών αφαιρεί ήσυχα το τείχος από τη διαδρομή αφήνοντάς το στο σχέδιο.

Αυτή είναι η αστοχία που πρέπει να αναζητήσετε σε ένα υπάρχον δίκτυο: δύο διαδρομές προς το ίδιο πρόθεμα, μία μέσα από το τείχος και μία άμεση, με την άμεση να κερδίζει στο μήκος προθέματος ή στη μετρική. Η σήραγγα εξακολουθεί να περνά κίνηση και ο έλεγχος στον οποίο πιστεύετε δεν συμβαίνει.

Οι σήραγγες βάσει διαδρομών το κάνουν ορατό, γιατί η σήραγγα είναι μια διεπαφή μέσω της οποίας μπορείτε να δρομολογήσετε μέσα από άλλη συσκευή. Οι σήραγγες βάσει πολιτικών επιλέγουν κίνηση με επιλογέα, κάτι που μπορεί να αφήσει το αποκρυπτογραφημένο πακέτο στον δρομολογητή χωρίς άλλο προορισμό.

Κάντε τις ίδιες πέντε ερωτήσεις και στους δύο υποψηφίους

Ένα σύντομο φύλλο εργασίας νικά έναν πίνακα χαρακτηριστικών, γιατί κάθε ερώτηση αντιστοιχεί σε μια γραμμή του σχεδίου. Ρωτήστε κάθε υποψήφιο:

• Ποιες εκδόσεις IKE, ποιες μεθόδους επαλήθευσης ομολόγου και ποια μοντέλα δρομολόγησης υποστηρίζει πραγματικά αυτή η έκδοση;
• Πού γίνεται δεκτό το ESP και πού επιτρέπεται ή απορρίπτεται η αποκρυπτογραφημένη ροή;
• Πώς μαθαίνουν οι τοπικοί κεντρικοί υπολογιστές τα απομακρυσμένα προθέματα και πώς η άλλη πλευρά μαθαίνει τα δικά σας;
• Ποια διαμεταγωγή, πόσες συνεδρίες και ποια συμπεριφορά ανακατεύθυνσης πρέπει να αντέχει το τελικό σημείο για το πραγματικό φορτίο;
• Ποιος είναι υπεύθυνος για τα διαπιστευτήρια του ομολόγου, την πολιτική και τη διαδρομή ανάκτησης όταν η σήραγγα είναι το χαλασμένο πράγμα;

Το pfSense τεκμηριώνει το IPsec βάσει πολιτικών και το IPsec βάσει διαδρομών ως ξεχωριστά μοντέλα με ξεχωριστούς περιορισμούς, και αυτή η διαφορά μετρά περισσότερο από την ετικέτα στο κουτί. Ελέγξτε την ακριβή λειτουργία και το υποστηριζόμενο φιλτράρισμα της αποκρυπτογραφημένης κίνησης στην έκδοση που θα αναπτύσσατε πραγματικά.

Αν ένας υποψήφιος δεν μπορεί να απαντήσει στη δεύτερη ερώτηση με έναν κανόνα που μπορείτε να διαβάσετε, δεν είναι το όριο που θέλετε, όσο καλά κι αν κάνει όλα τα άλλα. Ζητήστε το κείμενο του κανόνα αντί για ένα ναι, και αντιμετωπίστε μια αόριστη απάντηση ως όχι.

Επαληθεύστε τη διαδρομή με σύλληψη πακέτων, όχι με το σχέδιο

Ένα σχέδιο περιγράφει την πρόθεση και μια σύλληψη περιγράφει τη συμπεριφορά, οπότε επιβεβαιώστε ποια διεπαφή μεταφέρει ESP και ποια την εσωτερική ροή πριν εμπιστευτείτε οποιοδήποτε από τα δύο.

tcpdump -ni wan0 esp
tcpdump -ni lan0 host 10.60.4.20
ip xfrm policy list

Αν η πρώτη σύλληψη δείχνει ESP να φτάνει και η δεύτερη δείχνει το εσωτερικό πακέτο στην πλευρά του LAN, το σημείο αποκρυπτογράφησης είναι εκεί που νομίζετε. Αν το εσωτερικό πακέτο εμφανιστεί σε τμήμα που παρακάμπτει το τείχος, η δρομολόγηση είναι λάθος, ό,τι κι αν λέει το κείμενο της πολιτικής. Η λίστα xfrm δείχνει τότε ποιοι επιλογείς είναι εγκατεστημένοι και προς ποια κατεύθυνση.

Επαναλάβετε τη σύλληψη στη διαδρομή επιστροφής, γιατί η ασύμμετρη δρομολόγηση είναι συνηθισμένη όταν μια τοποθεσία έχει δύο πιθανές εξόδους. Μια σήραγγα που λειτουργεί προς τη μία κατεύθυνση και λήγει στην άλλη είναι σχεδόν πάντα αυτό, και καμία επεξεργασία πολιτικής στην άλλη πλευρά δεν θα το διορθώσει.