IPsec IPsec barruan: zein helbide eraman behar ditu kanpo tunelak

Habiaratutako IPsec errazagoa da arrazoitzeko bi mailak makina desberdinetan amaitzen direnean. Lau ate, bi tunel eta diseinuak funtzionatzen duen ala ez erabakitzen duen galdera bakarra: zer ikusten du kanpo tunelak, barnekoak paketearekin amaitu ondoren? Erantzun horri, eta hautatzaileak, ibilbideak eta arazoen konponketa-ordena etorriko dira. Huts eginez gero, egunez egongo zara teknikoki aktibo dagoen tunel bat arazten.

Lau ateen eredua

Kanpoko A eta B ateen artean eraikitzen dute lehen tunela bi guneen artean. A-ren atzean C barne atea dago, trantsitu helbide honekin: 10.60.0.2; B-ren atzean D barne atea dago, trantsitu helbide honekin: 10.70.0.2. Aplikazio-sareak C eta D atzean daude, eta adibideko helbide bakoitza nahita ez da gainjartzen.

application net -> C -> A == outer IPsec == B -> D -> application net
                       \---------- inner IPsec ----------/

C transit: 10.60.0.2      D transit: 10.70.0.2
A and B:    underlay addresses only

Mailak lau ostalari artean banatzeak esan nahi du makina bakoitzak muga bat betetzen duela. Bi mailak exekutatzen dituen ostalari bakar batek bi politika-multzo, bi ibilbide-taulaketa eta bi hutsegite-modu bateratu behar ditu makina bakarrean, eta hori posible da baina askoz zailagoa da behatzen.

Maila bakoitzak bere babesa baino ez du kentzen

C-k aplikazio-pakete bat zifratzen du D-rentzat. Emaitza C-tik D-ra helbideratzen da, eta hori iristen da A-ra. Beherago dagoen guztia berridazketa horren mende dago.

A-k berriro zifratzen du B-rentzat. B-k kanpo maila deszifratzen du, C-tik D-ra doan pakete bat ikusten du eta oraindik zifratuta birbidaltzen du. D-k barne babesa kentzen du eta aplikazio-paketea entregatzen du.

Beraz, A eta B-k barne muturrak eta haien metadatuak ikusten dituzte, baina ez dira aplikazioaren karga erabilgarria deszifratzen duten aldeak. Hori diseinuaren benetako ezaugarria da, ez C, D edo aplikazio-ostalariek fidagarriak diren baieztapena.

Kanpo hautatzaileek barne ateak izendatzen dituzte

Hemen huts egiten dute eraikin horietako gehienek. Politikan oinarritutako kanpo tunel baterako, negoziatzen dituzun hautatzaileek A eta B-k benetan kudeatzen dituzten helbideak izan behar dituzte: 10.60.0.2/32 eta 10.70.0.2/32, tokiko eta urruneko orden egokian.

Aplikazioaren azken azpisareak kanpo hautatzaileetan jartzeak ez du funtzionatzen, paketea A-ra iristen denerako barne kapsulatzeak dagoeneko berridatzi duelako A-k babestu behar duena. Orduan kanpo politikak ez luke ezer bat etorriko, eta tunela daturik eraman gabe igoko litzateke.

Ez estutu kanpo baimena UDP 500-era. Barne konexioak bere datu-bidea du, negoziatu duenaren arabera ESP edo UDP kapsulatzea erabiltzen duena, eta kanpo politikak protokolo hori baimendu behar du.

Egiaztatu emaitza swanctl --list-sas komandoarekin ate bakoitzean eta berretsi haur segurtasun-elkarteek buruan zenituen helbideak ematen dituztela, suposatu zenituztenak ez. Zerrendak aplikazio-azpisareak erakusten baditu, kanpo politika maila okerrarentzat idatzi da. Zuzendu hautatzaileak ibilbideak araztu aurretik, ibilbideak ondo emango duelako eta kontagailuak ez direlako mugituko.

Birbidalketa eta errekurtsioaren tranpa

Hautatzaileek ez dute ibilbiderik ordezkatzen. A eta B-k C eta D artean trafikoa bi noranzkoetan birbidali behar dute, hau da, IP birbidalketa gaituta, tunelera puntatzen duten ibilbideak eta beste aldean existitzen den itzuli-bidea.

Kanpo tunelak XFRM interfazeak erabiltzen baditu, ibilbideek interfazea hautatzen dute, negoziatutako politikek oraindik ere mugatzen dutelarik zer eramaten duen. Interfaze batek ez du babestutakoa zabaltzen; kernelak paketea nola jasotzen duen baino ez du aldatzen.

Tranpa errekurtsioa da. A-k B-ren kanpo muturrerako duen ibilbideak azpiko sarea jarraitu behar du, A-k eraikitzen duen tunelak ez, bestela kapsulatzeak bere buruaren barruan bidaiatu nahi du eta konexioa ez da inoiz amaitzen.

Aztertu itzulpena mailak gehitu aurretik

Begiratu A eta B-ko edozein iturri NAT beste ezer doitu aurretik. C-ren helbidea IPsec politika aplikatu aurretik berridazten duen arauak adostutako hautatzaileak hauts ditzake, eta D-k beste aldean zer jasotzen duen ere alda dezake.

Maskaratze zabala ez da seguruagoa bi maila izateagatik. Urrutiko aldeak zein helbide ikusten duen ezkutatzen du, eta hori da hain zuzen tunela aktibo eta aplikazioa ez dabilenean behar duzun informazioa.

NAT araua benetan beharrezkoa bada, idatzi alde bakoitzak zein helbiderekin uste duen hitz egiten duela. Lerro bakar horrek tunela edo itzulpena da errua izateari buruzko eztabaida gehienak konpontzen ditu. Hurrengo ingeniariari urtebete geroago araua kentzen denean non begiratu ere esaten dio. Ping-ek ez du horietako ezer egingo.

Frogatu fail-closed eta egiaztatu MTU

Ibilbide bat desagertzea ez da berez fail-closed politika bat. Beste taula batek, defektuzko ibilbide batek edo politika-arau batek isilka ordezko bidea eman dezakete, eta jakiteko modu bakarra kanpo tunela jaitsi eta aplikazio-trafikoak zer egiten duen behatzea da. Egin ezazu nahita, leiho batean, ustekabean aurkitu beharrean.

Probatu hiru egoera: kanpo tunela behera, barne tunela behera, eta biak itzuli ondorengo berreskurapena. Erabili politika-kontagailuak ate bakoitzean, ezarritako bi IKE saioek kontrol-planoaren negoziazioak arrakasta izan zuela baino ez dutelako frogatzen.

Aurrekontua egin bi kapsulatzeetarako. Funtzionatzen duen IKE pakete txikien emaitza da, eta tamaina osoko aplikazio-paketeek huts egin dezakete oraindik bi goiburu gehituta; probatu karga erabilgarriaren tamaina ezagunarekin benetako bidean, zenbakiak bat datozela suposatu beharrean. Aritmetika erraza da, bidea ez.