Kie finiĝas la VPN de via retejo decidas, kio estas inspektata

Tunelo inter retejoj kaŝas unu detalon, kiu decidas la tutan inspektan dezajnon: la preciza aparato, sur kiu la interna paketo aperas kiel klara teksto. Ĉio antaŭ tiu punkto vidas ESP, kaj ĉio post ĝi vidas ordinaran IP, kiun regulo povas kapti. Metu la limon en la malĝustan lokon kaj la fajroŝirmilo, por kiu vi pagis, fariĝas enkursigilo kun licenco. La sekva priskribo unue desegnas la linion kaj nur poste demandas, kiu aparato devus posedi ĝin.

Desegnu la linion tie, kie la paketo ĉesas esti ĉifrita

En tunela reĝimo la origina paketo estas ĉifrita kaj envolviĝas en novan eksteran IP-kapon adresitan al la partnera enirejo. Tiu ekstera paketo portas protokolon 50 por ESP, do ajna aparato inter la du enirejoj povas enkursigi ĝin sen legi la internajn adresojn. La unua aparato, kiu malĉifras, estas la sekureca limo, kaj ĝi ankaŭ estas la unua aparato, kiu povas apliki politikon al la interna fluo. Ĉio malsupre de tiu punkto estas ordinara enkursigado.

Marku tri aferojn sur la desegnaĵo: la eksteran finpunkton, kiu akceptas ESP, la protektitajn retojn nomitajn en la politiko, kaj la sekvan salteton, kiun faras la malĉifrita paketo. Se tiuj tri ne troviĝas sur la sama aparato, vi havas transdonon por projektii, ne unu kontrolpunkton.

RFC 4301 nomas la malĉifrantan aparaton sekureca enirejo kaj traktas ĝian politikon kiel parton de la limo. Tio estas pli utila kadro ol la produkta kategorio, ĉar aparato estas limo, kiam ĝi tenas la politikon, ne kiam ĝia datuma folio diras fajroŝirmilo.

Fajroŝirmilo kiel fino: unu aparato, unu politikpunkto

Kiam la fajroŝirmilo finas la tunelon, la supra enkursigilo nur devas transdoni ESP al ĝi. La fajroŝirmilo aŭtentikigas la partneron, malĉifras, kaj poste aplikas siajn kutimajn regulojn al la interna paketo survoje al la servila VLAN. Tio donas unu lokon por legi la politikon kaj unu lokon por legi la protokolojn, kion revizio kutime postulas.

Kontrolu la du permesojn aparte. Permesi IKE kaj ESP al la aparato ne estas la sama regulo kiel permesi al fora retejo atingi servilon, kaj fajroŝirmilo, kiu akceptas la tunelon dum ĝi blokas la internan fluon, aspektas de la fora fino ĝuste kiel rompita tunelo.

La kosto estas, ke la fajroŝirmilo nun staras sur la vojo de la tuta reteja trafiko, do ĝia trafluo, seanclimoj kaj konduto ĉe malsukceso fariĝas la konduto de la tunelo mem. Dimensionu ĝin por la kombinitaj retejaj fluoj, ne por la fora alira profilo, por kiu ĝi eble estis aĉetita.

Enkursigilo kiel fino: la inspekta salteto fariĝas laŭvola

Kiam la enkursigilo malĉifras, la paketo jam estas klara, kiam ĝi atingas la enkursigan tabelon. Se aparta fajroŝirmilo devas inspekti tiun trafikon, la enkursigilo devas sendi ĝin tra la fajroŝirmilo, kaj la revena vojo devas reveni same. Rekta vojo de la enkursigilo al la servila VLAN kviete forigas la fajroŝirmilon de la vojo, lasante ĝin sur la desegnaĵo.

Tio estas la difekto, kiun oni serĉu en ekzistanta reto: du vojoj al la sama prefikso, unu tra la fajroŝirmilo kaj unu rekta, kaj la rekta venkas laŭ prefiksa longo aŭ metriko. La tunelo ankoraŭ pasigas trafikon, kaj la inspektado, kiun vi kredas, ne okazas.

Vojo-bazitaj tuneloj igas tion videbla, ĉar la tunelo estas interfaco, tra kiu vi povas enkursigi tra alia aparato. Politiko-bazitaj tuneloj elektas trafikon per selektilo, kio povas lasi la malĉifritan paketon sur la enkursigilo sen alia celo.

Demandu al ambaŭ kandidatoj la samajn kvin demandojn

Mallonga laborfolio venkas funkciomatricon, ĉar ĉiu demando mapas al unu linio sur la desegnaĵo. Demandu al ĉiu kandidato:

• Kiujn IKE-versiojn, kiujn partnerajn aŭtentikigajn metodojn kaj enkursigajn modelojn ĉi tiu eldono vere subtenas?
• Kie ESP estas akceptata, kaj kie la malĉifrita fluo estas permesata aŭ malpermesata?
• Kiel lokaj gastigantoj lernas la forajn prefiksojn, kaj kiel la alia flanko lernas la viajn?
• Kiun trafluon, kiun seanckvanton kaj kiun konduton ĉe malsukceso la finpunkto devas elteni por la reala laborŝarĝo?
• Kiu posedas la partnerajn akreditaĵojn, la politikon kaj la reakiran vojon, kiam la tunelo estas la rompita afero?

pfSense dokumentas politiko-bazitan kaj vojo-bazitan IPsec kiel apartajn modelojn kun apartaj limigoj, kaj tiu diferenco valoras pli ol la etikedo sur la skatolo. Kontrolu la precizan reĝimon kaj la subtenatan filtradon de malĉifrita trafiko en la eldono, kiun vi vere lanĉus.

Se kandidato ne povas respondi la duan demandon per regulo, kiun vi povas legi, ĝi ne estas la limo, kiun vi volas, kiel ajn bone ĝi faras ĉion alian. Petu la tekston de la regulo anstataŭ jes, kaj traktu neklaran respondon kiel ne.

Kontrolu la vojon per kapto, ne per la desegnaĵo

Desegnaĵo priskribas intencon kaj kapto priskribas konduton, do konfirmu, kiu interfaco portas ESP kaj kiu portas la internan fluon, antaŭ ol fidi iun el ili.

tcpdump -ni wan0 esp
tcpdump -ni lan0 host 10.60.4.20
ip xfrm policy list

Se la unua kapto montras ESP alvenantan kaj la dua montras la internan paketon ĉe la LAN-flanko, la malĉifra punkto estas tie, kie vi pensas. Se la interna paketo aperas sur segmento, kiu preterpasas la fajroŝirmilon, la enkursigado malĝustas, kion ajn diras la politika teksto. La xfrm-listo tiam montras, kiuj selektiloj estas instalitaj kaj en kiu direkto.

Ripetu la kapton sur la revena vojo, ĉar nesimetria enkursigado oftas, kiam retejo havas du eblajn elirojn. Tunelo, kiu funkcias en unu direkto kaj tempolimas en la alia, preskaŭ ĉiam estas ĉi tio, kaj nenia politikredaktado ĉe la fora flanko riparas ĝin.