Kus teie saidi VPN lõpeb, määrab, mida kontrollitakse

Saidilt saidile tunnel peidab üksikasja, mis määrab kogu kontrolli disaini: täpse seadme, kus sisemine pakett ilmub selgekstekstina. Kõik enne seda punkti näeb ESP-d ja kõik pärast seda näeb tavalist IP-d, millele reegel saab pihta. Asetage piir valesse kohta ja tulemüür, mille eest maksite, muutub litsentsiga ruuteriks. Alljärgnev ülevaade tõmbab esmalt joone ja küsib alles siis, milline seade peaks selle omanikuks olema.

Tõmmake joon sinna, kus pakett ei ole enam krüpteeritud

Tunnelirežiimis krüpteeritakse algne pakett ja pakendatakse uude välimisse IP-päisesse, mis on adresseeritud partner-lüüsile. See välimine pakett kannab ESP jaoks protokolli 50, nii et iga seade kahe lüüsi vahel saab seda marsruutida ilma sisemisi aadresse lugemata. Esimene seade, mis dekrüpteerib, on turbepiir, ja see on ka esimene seade, mis saab sisemisele voolule poliitikat rakendada. Kõik sellest punktist allavoolu on tavaline marsruutimine.

Märkige joonisele kolm asja: väline lõpp-punkt, mis laseb ESP sisse, poliitikas nimetatud kaitstud võrgud, ja järgmine hüpe, mille dekrüpteeritud pakett teeb. Kui need kolm ei ole samas seadmes, on teil üleandmine, mida tuleb projekteerida, mitte üksainus kontrollpunkt.

RFC 4301 nimetab dekrüpteerivat seadet turvalüüsiks ja käsitleb selle poliitikat piiri osana. See on kasulikum raam kui tootekategooria, sest seade on piir siis, kui tal on poliitika, mitte siis, kui selle andmeleht ütleb tulemüür.

Tulemüür lõpp-punktina: üks seade, üks poliitikapunkt

Kui tulemüür lõpetab tunneli, peab ülesvoolu ruuter ESP sellele vaid kohale toimetama. Tulemüür autendib partneri, dekrüpteerib ja rakendab seejärel oma tavalisi reegleid sisemisele paketile teel serveri-VLAN-i. Nii on üks koht poliitika lugemiseks ja üks koht logide lugemiseks, mida audit tavaliselt nõuab.

Kontrollige kahte luba eraldi. IKE ja ESP lubamine seadmele ei ole sama reegel kui kaugsaidil serverini jõudmise lubamine, ja tulemüür, mis võtab tunneli vastu, blokeerides sisemise voolu, näeb kaugemast otsast täpselt välja nagu katkine tunnel.

Hind on see, et tulemüür asub nüüd kogu saidiliikluse teel, nii et selle läbilaskevõime, sessioonipiirid ja tõrkevahetuse käitumine muutuvad tunneli enda käitumiseks. Mõõtke see välja kombineeritud saidivoogude jaoks, mitte kaugjuurdepääsuprofiili jaoks, mille jaoks see võib-olla osteti.

Ruuter lõpp-punktina: kontrollihüppest saab valikuline

Kui ruuter dekrüpteerib, on pakett marsruutimistabelini jõudes juba selgekstekstiline. Kui eraldi tulemüür peab seda liiklust kontrollima, peab ruuter selle tulemüüri kaudu saatma ja tagasitee peab tulema sama moodi tagasi. Otsene marsruut ruuterilt serveri-VLAN-i eemaldab tulemüüri vaikselt teelt, jättes selle joonisele alles.

See on viga, mida olemasolevas võrgus otsida: kaks marsruuti samasse eesliitesse, üks läbi tulemüüri ja üks otse, kusjuures otsene võidab eesliite pikkuse või meetrika järgi. Tunnel laseb endiselt liiklust läbi ja kontroll, millesse te usute, ei toimu.

Marsruudipõhised tunnelid teevad selle nähtavaks, sest tunnel on liides, mille kaudu saab teise seadme kaudu marsruutida. Poliitikapõhised tunnelid valivad liiklust selektori järgi, mis võib jätta dekrüpteeritud paketi ruuterile ilma muu sihtkohata.

Esitage mõlemale kandidaadile samad viis küsimust

Lühike tööleht on parem kui funktsioonimaatriks, sest iga küsimus vastab ühele joonele joonisel. Küsige igalt kandidaadilt:

• Milliseid IKE versioone, milliseid partneri autentimismeetodeid ja marsruutimismudeleid see versioon tegelikult toetab?
• Kus ESP sisse lastakse ja kus dekrüpteeritud vool lubatakse või keelatakse?
• Kuidas kohalikud hostid õpivad kauged eesliited ja kuidas teine pool õpib teie omad?
• Millist läbilaskevõimet, sessioonide arvu ja tõrkevahetuse käitumist peab lõpp-punkt tegeliku koormuse jaoks vastu pidama?
• Kes vastutab partneri mandaatide, poliitika ja taasteteekonna eest, kui tunnel on see katkine asi?

pfSense dokumenteerib poliitikapõhise ja marsruudipõhise IPsec'i eraldi mudelitena eraldi piirangutega, ja see erinevus loeb rohkem kui karbil olev silt. Kontrollige täpset režiimi ja dekrüpteeritud liikluse toetatud filtreerimist selles versioonis, mille tegelikult juurutaksite.

Kui kandidaat ei suuda teisele küsimusele vastata reegliga, mida saate lugeda, ei ole see piir, mida soovite, ükskõik kui hästi see muidu kõike teeb. Küsige reegli teksti, mitte jah-vastust, ja käsitlege ebamäärast vastust eitavana.

Kontrollige teekonda püüdmisega, mitte joonisega

Joonis kirjeldab kavatsust ja püüdmine kirjeldab käitumist, seega kinnitage, milline liides kannab ESP-d ja milline sisemist voolu, enne kui kummagi usaldate.

tcpdump -ni wan0 esp
tcpdump -ni lan0 host 10.60.4.20
ip xfrm policy list

Kui esimene püüdmine näitab ESP saabumist ja teine näitab sisemist paketti LAN-i poolel, on dekrüpteerimispunkt seal, kus arvate. Kui sisemine pakett ilmub segmendile, mis läheb tulemüürist mööda, on marsruutimine vale, ükskõik mida poliitika tekst ütleb. xfrm-loend näitab siis, millised selektorid on paigaldatud ja mis suunas.

Korrake püüdmist tagasiteel, sest asümmeetriline marsruutimine on tavaline, kui saidil on kaks võimalikku väljapääsu. Tunnel, mis töötab ühes suunas ja aegub teises, on peaaegu alati see, ja mingi poliitika muutmine teisel pool ei paranda seda.