IPsec kahe hosti vahel: kus kaitse algab ja kus lõpeb

Kaitse hosti paaris algab seal, kus turbeseos lõpeb, ja see on tõsiasi, mille lüüsikujuline intuitsioon kõige sagedamini kahe silma vahele jätab. Rakendusserver ja selle andmebaasiserver saavad oma vestlust otse kaitsta, ilma et teel oleks ühtegi kaugjuurdepääsu kontsentreerijat, ja kaitsepiir asub siis iga hosti sees, mitte tulemüüris. See, mida see teile annab, on otsast-otsani katvus valitud voogude jaoks. See, mida see teile ei anna, on otsus selle kohta, kes millist rida lugeda tohib.

Piir on seal, kus SA lõpeb

RFC 4301 kirjeldab transpordirežiimi turbeseoseid kui korraldust, mida tavaliselt kasutatakse hosti paari vahel otsast-otsani kaitseks. Need kaks hosti hoiavad võtmeid ja kumbki otsustab, millised tema enda paketid seosesse sisenevad. Lüüsi tunnel lõpeb hoopis mujal ja jõuab hostini täiendava sisemise segmendi kaudu, mis on teistsugune usalduspiir isegi siis, kui pakett on suurema osa oma teekonnast krüpteeritud.

Host-host ja transpordirežiim ei ole siiski sünonüümid. Kaks hosti võivad sama õigesti ehitada omavahel tunneldirežiimis seose, seega valige esmalt režiim ja seejärel kirjeldage otspunkte. Kirjutage mõlemad projekteerimismärkmesse vastaspoole aadresside kõrvale, sest ülevaataja, kes teab ainult režiimi, eeldab teist.

SPD otsustab kaitse, marsruut otsustab suuna

Marsruutimistabel vastab sellele, kuhu pakett läheb. Turbepoliitika andmebaas vastab sellele, kuidas valitud liiklus kaitsepiiri ületab, ja teeb seda iga suuna kohta oma valijatega. See eraldus on põhjus, miks toimiv marsruut andmebaasini ei tõesta midagi selle kohta, kas päring oli kaitstud, ja miks loodud läbirääkimine ei tõesta midagi selle kohta, kas see konkreetne rakendus sellega sobis. Võrrelge valijaid enne loendurite võrdlemist, sest loendurid kirjeldavad ainult neid vooge, mis nii kaugele jõudsid.

Linuxis väljastab ip xfrm policy need kirjed koos suuna, prioriteedi, valija ja lubamise, blokeerimise või püüdmise toiminguga, samas kui ip xfrm state näitab tulemuseks olevaid seoseid ja nende loendureid. Mõlema koos lugemine on viis, kuidas leida voog, mis tunnelist vaikselt mööda läks, sest laiem lubamiskirje sobis esimesena.

Prioriteedi järjekord on poliitika osa, mitte teostuse detail. Kitsas kirje, mis peaks andmebaasi porti kaitsma, kaotab kõrgema prioriteediga laiemale kirjele, ja tõrge näeb välja nii, nagu poliitikat ei oleks kunagi küsitud.

Transpordirežiim katab järgmise kihi, mitte IP-päise

Transpordirežiimis asub ESP-päis IP-päise ja kasuliku koormuse vahel ning selle päise aadressiväljad jäävad teel olevale seadmele nähtavaks. See on korras, kui aadressid ei ole saladus ja kasulik koormus on. See on vale valik, kui peate varjama ka sisemist topoloogiat, sest ainult tunneldirežiim mähkib algse päise uue sisse.

Mõlemad režiimid võivad kanda mitut järgmise kihi protokolli, ja ESP kaitseb seda, millega valija sobib, mitte kõike, mida host saadab.

Valik on ühendusest kitsam

Üks seos võib kanda mitut voogu, kuid ainult neid, mille poliitika valib. Kirjutage üles vastaspoole identiteedid, lähte- ja sihtaadressid, protokoll ja kavatsetava suhte teenuse ulatus, seejärel otsustage eraldi, kas mittesobiv liiklus võib liikuda avalikult, peab olema kaitstud või tuleb kõrvale jätta, kui seos pole saadaval. Just viimane otsus tekitab üllatusi, sest vale lähte jaoks kaitset nõudev reegel võib blokeerida teie enda haldusjuurdepääsu sama tõhusalt, kui see blokeerib sissetungija.

Hoidke kinnitatud ribavälist teed, kuni muudate jõustamist, ja testige seda enne, kui seda vajate, mitte pärast seda, kui mõlemad hostid on muutunud kättesaamatuks.

Masina identiteet ei ole rakenduse luba

IPsec autendib konfigureeritud vastaspoolt ja kaitseb valitud pakette. See ei otsusta, millist andmebaasikirjet inimene tohib muuta, ja see ei muuda usaldusväärset serveri identiteeti kõigi rakenduse õiguste andmiseks. Rakenduse kontod, rollid ja autoriseerimine jäävad täpselt sinna, kus need olid, ja rakendustasandi TLS-nõue säilitab oma eesmärgi ka siis, kui võrgutee on juba kaitstud.

Võtke projekt vastu ühe toiminguga kavatsetud lähtest ja ühega, mis tuleb tagasi lükata, ning lisage, mis juhtub siis, kui nõutavat seost ei saa luua. Tavaline kättesaadavuse test ütleb teile, et paketid liiguvad; see ei ütle teile, et need liikusid teie kirjutatud poliitika järgi.