Dónde termina su VPN de sitio decide qué se inspecciona

Un túnel entre sedes oculta un detalle que decide todo el diseño de la inspección: el dispositivo exacto donde el paquete interno aparece en claro. Todo lo anterior a ese punto ve ESP, y todo lo posterior ve IP normal que una regla puede interceptar. Coloque la frontera en el lugar equivocado y el cortafuegos que pagó se convierte en un enrutador con licencia. El recorrido siguiente traza primero la línea y solo después pregunta qué equipo debe asumirla.

Trace la línea donde el paquete deja de estar cifrado

En modo túnel, el paquete original se cifra y se envuelve en una nueva cabecera IP exterior dirigida a la puerta de enlace par. Esa cabecera exterior transporta el protocolo 50 para ESP, de modo que cualquier dispositivo entre las dos puertas de enlace puede enrutarlo sin leer las direcciones internas. El primer dispositivo que descifra es la frontera de seguridad, y también es el primero que puede aplicar políticas al flujo interno. Todo lo que queda aguas abajo de ese punto es enrutamiento normal.

Marque tres cosas en el dibujo: el extremo externo que admite ESP, las redes protegidas nombradas en la política, y el siguiente salto que toma el paquete descifrado. Si esas tres cosas no están en el mismo dispositivo, tiene un traspaso que diseñar en lugar de un único punto de control.

La RFC 4301 llama al dispositivo que descifra puerta de enlace de seguridad y trata su política como parte de la frontera. Es un marco más útil que la categoría de producto, porque un dispositivo es una frontera cuando contiene la política, no cuando su hoja de datos dice cortafuegos.

Cortafuegos como terminación: un dispositivo, un punto de política

Cuando el cortafuegos termina el túnel, el enrutador anterior solo tiene que entregarle ESP. El cortafuegos autentica al par, descifra y luego aplica sus reglas habituales al paquete interno camino de la VLAN de servidores. Así hay un solo lugar donde leer la política y uno solo donde leer los registros, que es lo que suele pedir una auditoría.

Compruebe los dos permisos por separado. Permitir IKE y ESP hacia el dispositivo no es la misma regla que permitir que una sede remota llegue a un servidor, y un cortafuegos que acepta el túnel mientras bloquea el flujo interno se ve exactamente como un túnel roto desde el extremo remoto.

El coste es que el cortafuegos ahora está en el camino de todo el tráfico de sede, así que su rendimiento, sus límites de sesión y su comportamiento de conmutación por error pasan a ser los del propio túnel. Dimensiónelo para los flujos de sede combinados y no para el perfil de acceso remoto para el que quizá se compró.

Enrutador como terminación: el salto de inspección pasa a ser opcional

Cuando el enrutador descifra, el paquete ya está en claro al llegar a la tabla de enrutamiento. Si un cortafuegos aparte debe inspeccionar ese tráfico, el enrutador tiene que enviarlo a través del cortafuegos y el camino de vuelta debe regresar de la misma forma. Una ruta directa del enrutador a la VLAN de servidores retira el cortafuegos del camino sin que se note, mientras lo deja en el diagrama.

Ese es el fallo que hay que buscar en una red existente: dos rutas al mismo prefijo, una a través del cortafuegos y otra directa, y la directa gana por longitud de prefijo o por métrica. El túnel sigue pasando tráfico y la inspección en la que usted cree no ocurre.

Los túneles basados en rutas hacen esto visible, porque el túnel es una interfaz por la que puede enrutar a través de otro dispositivo. Los túneles basados en políticas seleccionan el tráfico por selector, lo que puede dejar el paquete descifrado en el enrutador sin otro destino.

Haga las mismas cinco preguntas a ambos candidatos

Una hoja de trabajo breve supera a una matriz de funciones, porque cada pregunta corresponde a una línea del dibujo. Pregunte a cada candidato:

• ¿Qué versiones de IKE, qué métodos de autenticación de pares y qué modelos de enrutamiento admite realmente esta versión?
• ¿Dónde se admite ESP y dónde se permite o se deniega el flujo descifrado?
• ¿Cómo aprenden los equipos locales los prefijos remotos y cómo aprende el extremo remoto los suyos?
• ¿Qué rendimiento, cuántas sesiones y qué comportamiento de conmutación por error debe soportar el extremo para la carga real?
• ¿Quién es responsable de las credenciales de los pares, de la política y del camino de recuperación cuando lo que falla es el túnel?

pfSense documenta IPsec basado en políticas e IPsec basado en rutas como modelos separados con restricciones separadas, y esa diferencia importa más que la etiqueta de la caja. Compruebe el modo exacto y el filtrado admitido del tráfico descifrado en la versión que realmente desplegaría.

Si un candidato no puede responder a la segunda pregunta con una regla que usted pueda leer, no es la frontera que quiere, haga lo demás tan bien como quiera. Pida el texto de la regla en lugar de un sí, y trate una respuesta vaga como un no.

Verifique el camino con una captura, no con el diagrama

Un diagrama describe la intención y una captura describe el comportamiento, así que confirme qué interfaz lleva ESP y cuál lleva el flujo interno antes de fiarse de uno u otra.

tcpdump -ni wan0 esp
tcpdump -ni lan0 host 10.60.4.20
ip xfrm policy list

Si la primera captura muestra ESP llegando y la segunda muestra el paquete interno en el lado LAN, el punto de descifrado está donde usted cree. Si el paquete interno aparece en un segmento que evita el cortafuegos, el enrutamiento está mal diga lo que diga el texto de la política. El listado de xfrm muestra entonces qué selectores están instalados y en qué dirección.

Repita la captura en el camino de vuelta, porque el enrutamiento asimétrico es habitual cuando una sede tiene dos salidas posibles. Un túnel que funciona en un sentido y expira en el otro es casi siempre esto, y ninguna edición de la política en el extremo remoto lo arreglará.