Zure guneko VPN non amaitzen den erabakitzen du zer ikuskatzen den

Guneen arteko tunelak xehetasun bat ezkutatzen du, ikuskapen-diseinu osoa erabakitzen duena: barne-paketea testu argi gisa agertzen den gailu zehatza. Puntu horren aurretik denak ESP ikusten du, eta haren ondoren denak arau batek har dezakeen IP arrunta. Muga leku okerrean jartzen baduzu, ordaindu duzun suebakia lizentzia duen bideratzaile bihurtuko da. Beheko azalpenak lerroa marrazten du lehenik eta gero galdetzen du zein gailuk izan behar duen jabe.

Marraztu lerroa paketea zifratzeari uzten dion lekuan

Tunel moduan jatorrizko paketea zifratu eta kanpoko IP goiburu berri batean biltzen da, bikoteko atebideari zuzendua. Kanpoko pakete horrek ESPrako 50 protokoloa darama, beraz bi atebideen arteko edozein gailuk bidera dezake barneko helbideak irakurri gabe. Deszifratzen duen lehen gailua segurtasun-muga da, eta barne-fluxuari politika aplikatzeko gai den lehen gailua ere bada. Puntu horren beheko guztia bideratze arrunta da.

Markatu hiru gauza marrazkian: ESP onartzen duen kanpoko amaiera-puntua, politikan izendatutako sare babestuak, eta deszifratutako paketeak egiten duen hurrengo jauzia. Hiru horiek gailu berean ez badaude, diseinatu beharreko transferentzia duzu, ez kontrol-puntu bakarra.

RFC 4301 arauak deszifratzen duen gailuari segurtasun-atebidea deitzen dio eta haren politika mugaren parte dela hartzen du. Hau produktu-kategoria baino esparru erabilgarriagoa da, gailua muga baita politika daukanenean, ez bere datu-orriak suebakia dioenean.

Suebakia amaiera gisa: gailu bat, politika-puntu bat

Suebakiak tunela amaitzen duenean, gaineko bideratzaileak ESP besterik ez dio eman behar. Suebakiak bikotekidea autentifikatzen du, deszifratzen du, eta gero bere ohiko arauak aplikatzen dizkio barne-paketeari zerbitzarien VLANerako bidean. Horrek politika irakurtzeko leku bat eta erregistroak irakurtzeko leku bat ematen ditu, auditoretza batek normalean eskatzen duena.

Egiaztatu bi baimenak bereizita. Gailuari IKE eta ESP baimentzea ez da arau bera gune urrunari zerbitzari bat iristeko baimena ematea, eta tunela onartu baina barne-fluxua blokeatzen duen suebakia urrutiko muturretik tunel hautsia bezalaxe ikusten da.

Kostua da suebakia gunearen trafiko guztiaren bidean dagoela orain, beraz haren errendimendua, saio-mugak eta hutsegitean aldatzearen portaera tunelaren beraren portaera bihurtzen dira. Neurtu gunearen fluxu bateratuetarako, agian erosi zen urrutiko sarbide-profilarentzat ez.

Bideratzailea amaiera gisa: ikuskapen-jauzia hautazkoa bihurtzen da

Bideratzaileak deszifratzen duenean, paketea argi dago jada bideratze-taulera iristen denean. Suebaki bereizi batek trafiko hori ikuskatu behar badu, bideratzaileak suebakitik bidali behar du, eta itzulera-bideak modu berean itzuli behar du. Bideratzailetik zerbitzarien VLANera doan bide zuzenak isilka kentzen du suebakia bidetik, marrazkian utzita.

Hau da sare existente batean bilatu beharreko hutsegitea: bi bide aurrizki berera, bat suebakitik eta bestea zuzen, eta zuzena nagusitzen da aurrizkiaren luzeran edo metrikaan. Tunelak trafikoa pasatzen jarraitzen du eta sinesten duzun ikuskapena ez da gertatzen.

Bideetan oinarritutako tunelak ikusgarri egiten du hau, tunela beste gailu batetik bidera dezakezun interfazea baita. Politikan oinarritutako tunelak hautatzailearekin aukeratzen du trafikoa, eta horrek deszifratutako paketea bideratzailean utz dezake beste helmugarik gabe.

Egin biei bost galdera berberak

Lan-orri labur batek ezaugarri-matrize bat gainditzen du, galdera bakoitzak marrazkiko lerro bati baitagokio. Galdetu hautagai bakoitzari:

• Zein IKE bertsio, zein bikotekide-autentifikazio metodo eta bideratze-eredu onartzen ditu benetan bertsio honek?
• Non onartzen da ESP, eta non baimendu edo ukatzen da deszifratutako fluxua?
• Nola ikasten dituzte tokiko ostalariek urrutiko aurrizkia, eta nola ikasten du beste aldeak zurea?
• Zein errendimendu, saio-kopuru eta hutsegitean aldatze-portaera jasan behar ditu amaiera-puntuak benetako kargarako?
• Nork dauzka bikotekidearen kredentzialak, politika eta berreskuratze-bidea, tunela denean hondatutako gauza?

pfSense-k politikan oinarritutako eta bideetan oinarritutako IPsec dokumentatzen ditu muga bereiziko eredu bereizi gisa, eta alde horrek kutxako etiketak baino gehiago balio du. Egiaztatu modu zehatza eta deszifratutako trafikoaren iragazketa onartua benetan ezarriko duzun bertsioan.

Hautagaiak ezin badio bigarren galderari irakur dezakezun arau batekin erantzun, ez da nahi duzun muga, gainerako guztia zein ondo egiten duen ere. Eskatu arauaren testua baiaren ordez, eta hartu erantzun lausoa ezetzat.

Egiaztatu bidea harrapaketa batekin, ez marrazkiarekin

Marrazkiak asmoa deskribatzen du eta harrapaketak portaera, beraz egiaztatu zein interfazek daraman ESP eta zein barne-fluxua, bietako bati fidatu aurretik.

tcpdump -ni wan0 esp
tcpdump -ni lan0 host 10.60.4.20
ip xfrm policy list

Lehen harrapaketak ESP iristen erakusten badu eta bigarrenak barne-paketea LAN aldean, deszifratze-puntua uste duzun lekuan dago. Barne-paketea suebakia saihesten duen segmentu batean agertzen bada, bideratzea oker dago, politikaren testuak esan arren. xfrm zerrendak orduan erakusten du zein hautatzaile dauden instalatuta eta zein norabidetan.

Errepikatu harrapaketa itzulera-bidean, gune batek bi irteera posible dituenean bideratze asimetrikoa ohikoa baita. Norabide batean funtzionatzen duen eta bestean denbora-mugaz amaitzen den tunela ia beti da hau, eta beste aldeko politikaren edozein aldaketak ez du konpontzen.