IPsec ESP: mida see kannab ja kuidas tõestada, et see liigub

ESP kannab IPsec VPN-i liiklust ja selle runbook algab ühe reegliga: lugege turvaassotsiatsiooni enne, kui muudate poliitikat. Enamik seletamata ESP-käitumist taandub selektorile, mis ei sobitunud, režiimile, mida eeldati selle asemel, et lugeda, või loendurile, mida keegi ei kontrollinud, kui saadeti üht voogu. Kolm sammu allpool teevad kindlaks, mis mida kannab, tõestavad, et üks voog seda kasutab, ja jätavad tagasipöördumise, mis ei sõltu mälust. Iga samm annab ühe tähelepaneku, mida tasub üles kirjutada.

Tundke välju enne, kui neid loete

ESP paneb kaitstud andmete ette päise ja taha sabalõigu. Päis kannab turvaparameetri indeksit, mis määrab, millist assotsiatsiooni vastuvõtja peaks kasutama, kordusjärjestuse tuvastamiseks järjekorranumbrit ning sabalõigus polsterdust, mis hoiab kasuliku koormuse šifri jaoks joondatuna. Sabalõigu järgmise päise väli ütleb, mis on kaitstud sisu, ja nii teab vastuvõtja, mida ta lahti pakkis.

Režiim muudab seda, mis on selle kaitse sees. Tunnelirežiimis on kaitstud materjaliks täielik sisemine IP-pakett ja uus välimine päis kannab seda lõpp-punktide vahel. Transpordirežiimis mähitakse kaitse olemasoleva paketi ülemise kihi kasulikule koormusele, nii et teist IP-päist lahti pakkida ei ole. Milline režiim on kasutusel, on konfiguratsiooni fakt, mitte tõlgendamise küsimus. Lugege see olekukirjest, mitte ärge tuletage seda diagrammist.

Kumbki režiim ei varja välimist adresseerimist, mis peab paketi kohale toimetama. See on disaini omadus, mitte puudus, ja seepärast näeb vahepealne vaatleja ikka, millised kaks aadressi omavahel räägivad, isegi kui kasulik koormus on läbipaistmatu.

Esimene samm: lugege olekut, seejärel poliitikat

Olekukirjed hoiavad võtmeid ja loendureid; poliitikakirjed hoiavad selektoreid, mis otsustavad, mis tohib neid kasutada. Linuxis on mõlemad nähtavad ilma paketipüügita ja nende lugemine selles järjekorras hoiab kaks küsimust lahus.

ip xfrm state
ip xfrm policy

Olekuväljundis kontrollige assotsiatsiooni allikat ja sihtkohta, režiimi ning seda, kas kapseldus näitab UDP-porte. Need pordid tähendavad, et kasutatakse NAT-i läbimist, mis muudab seda, mida vahepealne tulemüür peab lubama, kuid mitte seda, millised selektorid või võtmed lõpp-punktides kehtivad.

Seejärel lugege poliitika selektoreid. Selektor, mis nimetab kitsamat prefiksit kui teie testitav liiklus, on kõige tavalisem põhjus, miks töötav tunnel näib voogu eiravat, ja vale protokolli selektor tekitab sama vaikuse.

Tootjavärk prindib sama teabe sõbralikumas vormis. ipsec statusall strongSwanis loetleb see alamassotsiatsioonid, nende selektorid ja baidiloendurid, mis on sageli kiirem kui töötlemata xfrm-väljundi lugemine, kui juba teate, millist alamat vaadata.

Teine samm: tõestage, et üks voog liigutab loendureid

Loendurid on mõttekad ainult siis, kui teate, mis oleks pidanud neid liigutama, seega valige allikas ja sihtkoht, mida selektor kindlasti katab, ja saatke üks kahjutu päring. Seejärel lugege sama kirjet uuesti ja võrrelge.

ip -s xfrm state
tcpdump -ni any esp

Kaks lugemist räägivad eri lugusid. Paketid, mis suurenevad väljuval poolel, kuid mitte kunagi siseneval, osutavad edastamise või tagasitee probleemile, mitte võtmeprobleemile, sest pakett kapseldati ja lahkus. Kui ükski loendur ei liigu, ei sobitunud liiklus poliitikaga üldse, ja selektor on koht, kuhu vaadata.

Sama sammu püük kinnitab kapselduse juhtmel, sealhulgas seda, kas välimised paketid on ESP või UDP-sse kapseldatud ESP. See näitab teile ka aadresse, mis voogu tegelikult kandsid, ja need erinevad mõnikord nendest, mis olid konfiguratsioonis, mida lugesite.

Kolmas samm: muutke üht asja ja hoidke tagasipöördumine

Kirjutage üles assotsiatsiooni allikas, sihtkoht, režiim, selektorid ja loendurid enne, kui midagi muudate. Kui muudatus teeb asjad hullemaks, võimaldab just see kirje taastada eelmise oleku, selle asemel et ehitada töötav konfiguratsioon oletusest uuesti üles. Kirje võtab kirjutamiseks minuti ja säästab hiljem tunni. See on ka ainus artefakt, mis jääb muudatuse teinud inimesest alles.

Muutke üht selektorit või üht parameetrit, laadige see uuesti ja korrake teist sammu sama voo vastu. Assotsiatsiooni kustutamine lammutab iga voo, mis seda kasutab, nii et sihitud muudatus ja alama uuesti laadimine on peaaegu alati paremad kui oleku tühjendamine, et näha, mis juhtub.

Selektori muudatuse tagasipöördumine tähendab eelmise poliitika taastamist ja uuesti laadimist, tingimusel et partneril võib olla vaja vastavat muudatust, kui selektor on läbiräägitav, mitte kohalik. Kirjutage see sõltuvus üles, kuni see on värske, sest pooleldi taastatud paarist on raskem mõelda kui kummastki lõppolekust.

Lõpuks hoidke ulatus aus. Liikuv ESP-assotsiatsioon tõestab, et kaks lüüsi kaitsevad ja toimetavad segmendi kohale, ja see ei ütle midagi selle kohta, kas peal olev rakendus autendib oma kasutajaid või krüpteerib seda, mida ta salvestab. Need on eraldi kontrollid eraldi tõenditega ja runbook on valmis alles siis, kui järgmine inimene suudab selle märkmetest korrata.