اینکه VPN سایت شما کجا پایان می‌یابد تعیین می‌کند چه چیزی بازرسی می‌شود
دستگاهی که ترافیک میان سایت‌ها را رمزگشایی می‌کند تعیین می‌کند فایروال هنوز چه چیزی را می‌تواند بازرسی کند. ابتدا مرز را رسم کنید و سپس روتر یا فایروال را انتخاب کنید.
یک تونل میان سایت‌ها جزئیاتی را پنهان می‌کند که تمام طراحی بازرسی را تعیین می‌کند: همان دستگاهی که بسته داخلی روی آن به‌صورت متن روشن ظاهر می‌شود. هر چیز پیش از آن نقطه ESP را می‌بیند و هر چیز پس از آن IP معمولی را که یک قاعده می‌تواند با آن مطابقت کند. مرز را در جای اشتباه بگذارید و فایروالی که برایش پول داده‌اید به روتری با مجوز تبدیل می‌شود. راهنمای زیر ابتدا خط را رسم می‌کند و تنها پس از آن می‌پرسد کدام دستگاه باید آن را در اختیار داشته باشد.
خط را جایی رسم کنید که بسته دیگر رمزگذاری‌شده نیست
در حالت تونل، بسته اصلی رمزگذاری و در سرآیند IP بیرونی جدیدی پیچیده می‌شود که به دروازه همتا نشانی دارد. آن بسته بیرونی پروتکل 50 را برای ESP حمل می‌کند، بنابراین هر دستگاهی میان دو دروازه می‌تواند آن را مسیریابی کند بدون خواندن نشانی‌های داخلی. نخستین دستگاهی که رمزگشایی می‌کند مرز امنیتی است و همچنین نخستین دستگاهی است که می‌تواند سیاست را بر جریان داخلی اعمال کند. هر چیز پایین‌تر از آن نقطه مسیریابی معمولی است.
سه چیز را روی نمودار علامت بزنید: نقطه پایانی بیرونی که ESP را می‌پذیرد،شبکه‌های محافظت‌شده که در سیاست نام برده شده‌اند، و پرش بعدی که بسته رمزگشایی‌شده انجام می‌دهد. اگر این سه روی یک دستگاه نباشند، شما یک تحویل برای طراحی دارید نه یک نقطه کنترل واحد.
RFC 4301 دستگاه رمزگشایی‌کننده را دروازه امنیتی می‌نامد و سیاست آن را بخشی از مرز می‌داند. این چارچوبی سودمندتر از دسته‌بندی محصول است، زیرا یک دستگاه هنگامی مرز است که سیاست را در اختیار دارد، نه هنگامی که برگه مشخصاتش می‌گوید فایروال.
فایروال به‌عنوان نقطه پایان: یک دستگاه، یک نقطه سیاست
وقتی فایروال تونل را پایان می‌دهد، روتر بالادست فقط باید ESP را به آن تحویل دهد. فایروال همتا را احراز هویت می‌کند، رمزگشایی می‌کند و سپس قواعد معمول خود را در مسیر VLAN سرورها بر بسته داخلی اعمال می‌کند. این‌گونه یک جا برای خواندن سیاست و یک جا برای خواندن گزارش‌ها داریم، که معمولاً همان چیزی است که یک بازرسی می‌خواهد.
دو اجازه را جداگانه بررسی کنید. اجازه دادن IKE و ESP به دستگاه همان قاعده‌ای نیست که به یک سایت راه دور اجازه می‌دهد به سرور برسد، و فایروالی که تونل را می‌پذیرد اما جریان داخلی را مسدود می‌کند، از سوی دیگر دقیقاً مانند یک تونل خراب دیده می‌شود.
هزینه‌اش این است که فایروال اکنون روی مسیر تمام ترافیک سایت قرار دارد، بنابراین توان عبوری، محدودیت‌های نشست و رفتار جابه‌جایی در خرابی به رفتار خود تونل تبدیل می‌شود. آن را برای جریان‌های ترکیبی سایت اندازه بگیرید نه برای مشخصات دسترسی از راه دوری که شاید برای آن خریده شده است.
روتر به‌عنوان نقطه پایان: پرش بازرسی اختیاری می‌شود
وقتی روتر رمزگشایی می‌کند، بسته هنگام رسیدن به جدول مسیریابی از پیش روشن است. اگر یک فایروال جداگانه باید آن ترافیک را بازرسی کند، روتر باید آن را از فایروال بفرستد و مسیر بازگشت باید از همان راه برگردد. یک مسیر مستقیم از روتر به VLAN سرورها بی‌سروصدا فایروال را از مسیر حذف می‌کند و آن را روی نمودار باقی می‌گذارد.
این همان نقصی است که باید در شبکه موجود جست‌وجو کنید: دو مسیر به یک پیشوند، یکی از فایروال و یکی مستقیم، و مسیر مستقیم با طول پیشوند یا متریک برنده می‌شود. تونل همچنان ترافیک را عبور می‌دهد و بازرسی‌ای که به آن باور دارید رخ نمی‌دهد.
تونل‌های مبتنی بر مسیر این را آشکار می‌کنند، زیرا تونل یک واسط است که می‌توان از طریق دستگاه دیگری مسیریابی کرد. تونل‌های مبتنی بر سیاست ترافیک را با انتخابگر برمی‌گزینند، که می‌تواند بسته رمزگشایی‌شده را روی روتر بدون مقصد دیگری رها کند.
همان پنج پرسش را از هر دو نامزد بپرسید
یک برگه کار کوتاه از ماتریس ویژگی‌ها بهتر است، زیرا هر پرسش به یک خط روی نمودار متناظر است. از هر نامزد بپرسید:
- کدام نسخه‌های IKE،کدام روش‌های احراز هویت همتا و کدام مدل‌های مسیریابی این نسخه واقعاً پشتیبانی می‌کند؟
- ESP کجا پذیرفته می‌شود و جریان رمزگشایی‌شده کجا مجاز یا مسدود است؟
- میزبان‌های محلی چگونه پیشوندهای دور را یاد می‌گیرند و طرف مقابل چگونه پیشوندهای شما را یاد می‌گیرد؟
- نقطه پایان برای بار واقعی باید چه توان عبوری، چه تعداد نشست و چه رفتار جابه‌جایی در خرابی را تحمل کند؟
- وقتی تونل آن چیز خراب است، چه کسی مالک اعتبارنامه‌های همتا، سیاست و مسیر بازیابی است؟
pfSense مدل‌های IPsec مبتنی بر سیاست و مبتنی بر مسیر را به‌عنوان دو مدل جداگانه با محدودیت‌های جداگانه مستند می‌کند، و این تفاوت از برچسب روی جعبه مهم‌تر است. حالت دقیق و فیلتر پشتیبانی‌شده ترافیک رمزگشایی‌شده را در نسخه‌ای که واقعاً مستقر می‌کنید بررسی کنید.
اگر نامزدی نتواند به پرسش دوم با قاعده‌ای پاسخ دهد که می‌توانید بخوانید، آن مرزی نیست که می‌خواهید، هر قدر هم کارهای دیگر را خوب انجام دهد. متن قاعده را بخواهید نه بله را، و پاسخ مبهم را نه بدانید.
مسیر را با ضبط بسته بررسی کنید نه با نمودار
نمودار نیت را توصیف می‌کند و ضبط بسته رفتار را، پس پیش از اعتماد به هر یک تأیید کنید کدام واسط ESP و کدام جریان داخلی را حمل می‌کند.
tcpdump -ni wan0 esp
tcpdump -ni lan0 host 10.60.4.20
ip xfrm policy listاگر ضبط اول رسیدن ESP را نشان دهد و دومی بسته داخلی را در سمت LAN نشان دهد، نقطه رمزگشایی همان‌جاست که فکر می‌کنید. اگر بسته داخلی روی قطعه‌ای ظاهر شود که فایروال را دور می‌زند، مسیریابی اشتباه است هر چه متن سیاست بگوید. فهرست xfrm سپس نشان می‌دهد کدام انتخابگرها نصب شده‌اند و در کدام جهت.
ضبط را روی مسیر بازگشت تکرار کنید، زیرا مسیریابی نامتقارن زمانی رایج است که یک سایت دو خروجی ممکن دارد. تونلی که در یک جهت کار می‌کند و در جهت دیگر به پایان مهلت می‌رسد تقریباً همیشه همین است، و هیچ ویرایش سیاستی در طرف مقابل آن را درست نمی‌کند.