Missä sivustosi VPN päättyy, ratkaisee mitä tarkastetaan

Sivustojen välinen tunneli kätkee yksityiskohdan, joka ratkaisee koko tarkastuksen suunnittelun: tarkan laitteen, jossa sisempi paketti näkyy selkokielisenä. Kaikki ennen tätä pistettä näkee ESP:n, ja kaikki sen jälkeen näkee tavallista IP:tä, johon sääntö voi osua. Laita raja väärään paikkaan, ja maksamasi palomuurista tulee lisenssin omaava reititin. Alla oleva läpikäynti piirtää ensin viivan ja kysyy vasta sitten, minkä laitteen sen pitäisi omistaa.

Piirrä viiva kohtaan, jossa paketti lakkaa olemasta salattu

Tunnelitilassa alkuperäinen paketti salataan ja kääritään uuteen ulompaan IP-otsikkoon, joka on osoitettu vastapuolen yhdyskäytävälle. Tämä ulompi paketti kuljettaa protokollaa 50 ESP:tä varten, joten mikä tahansa laite kahden yhdyskäytävän välissä voi reitittää sen lukematta sisempiä osoitteita. Ensimmäinen laite, joka purkaa salauksen, on turvaraja, ja se on myös ensimmäinen laite, joka voi soveltaa käytäntöä sisempään virtaan. Kaikki tämän pisteen alapuolella on tavallista reititystä.

Merkitse piirrokseen kolme asiaa: ulkoinen päätepiste, joka päästää ESP:n sisään, käytännössä nimetyt suojatut verkot, ja seuraava hyppy, jonka salauksen purettu paketti ottaa. Jos nämä kolme eivät ole samassa laitteessa, sinulla on suunniteltava luovutus yhden valvontapisteen sijaan.

RFC 4301 kutsuu salauksen purkavaa laitetta turvayhdyskäytäväksi ja käsittelee sen käytäntöä osana rajaa. Se on hyödyllisempi kehys kuin tuoteluokka, koska laite on raja silloin, kun se pitää käytäntöä, ei silloin, kun sen datalehti sanoo palomuuri.

Palomuuri päätepisteenä: yksi laite, yksi käytäntöpiste

Kun palomuuri päättää tunnelin, ylävirran reitittimen tarvitsee vain toimittaa ESP sille. Palomuuri todentaa vastapuolen, purkaa salauksen ja soveltaa sitten tavallisia sääntöjään sisempään pakettiin matkalla palvelin-VLANiin. Näin on yksi paikka lukea käytäntöä ja yksi paikka lukea lokeja, mitä auditointi yleensä pyytää.

Tarkista kaksi lupaa erikseen. IKE:n ja ESP:n salliminen laitteelle ei ole sama sääntö kuin sen salliminen, että etäsivusto tavoittaa palvelimen, ja palomuuri, joka hyväksyy tunnelin mutta estää sisemmän virran, näyttää kauimmasta päästä täsmälleen rikkinäiseltä tunnelilta.

Hinta on, että palomuuri on nyt kaiken sivustoliikenteen reitillä, joten sen läpäisykyky, istuntorajat ja vikasietokäyttäytyminen tulevat itse tunnelin käyttäytymiseksi. Mitoita se yhdistetyille sivustovirroille, ei etäkäyttöprofiilille, jota varten se ehkä ostettiin.

Reititin päätepisteenä: tarkastushypystä tulee valinnainen

Kun reititin purkaa salauksen, paketti on jo selkokielinen saapuessaan reititystauluun. Jos erillisen palomuurin on tarkoitus tarkastaa tämä liikenne, reitittimen on lähetettävä se palomuurin kautta ja paluupolun on palattava samaa tietä. Suora reitti reitittimeltä palvelin-VLANiin poistaa palomuurin huomaamatta polulta ja jättää sen piirrokseen.

Tämä on se vika, jota olemassa olevasta verkosta kannattaa etsiä: kaksi reittiä samaan etuliitteeseen, yksi palomuurin kautta ja yksi suora, ja suora voittaa etuliitteen pituudella tai metrisellä arvolla. Tunneli välittää yhä liikennettä, eikä tarkastus, johon uskot, tapahdu.

Reittipohjaiset tunnelit tekevät tämän näkyväksi, koska tunneli on rajapinta, jonka kautta voit reitittää toisen laitteen läpi. Käytäntöpohjaiset tunnelit valitsevat liikennettä valitsimella, mikä voi jättää salauksen puretun paketin reitittimelle ilman muuta paikkaa mihin mennä.

Kysy molemmilta ehdokkailta samat viisi kysymystä

Lyhyt työlista voittaa ominaisuusmatriisin, koska jokainen kysymys vastaa yhtä viivaa piirroksessa. Kysy jokaiselta ehdokkaalta:

• Mitä IKE-versioita, mitä vastapuolen todennusmenetelmiä ja reititysmalleja tämä versio todella tukee?
• Missä ESP päästetään sisään, ja missä salauksen purettu virta sallitaan tai estetään?
• Miten paikalliset isännät oppivat etäetuliitteet, ja miten vastapuoli oppii sinun?
• Mikä läpäisykyky, istuntamäärä ja vikasietokäyttäytyminen päätepisteen on kestettävä todelliselle kuormitukselle?
• Kuka omistaa vastapuolen tunnistetiedot, käytännön ja palautumispolun, kun tunneli on se rikkinäinen asia?

pfSense dokumentoi käytäntöpohjaisen ja reittipohjaisen IPsecin erillisinä malleina, joilla on erilliset rajoitukset, ja tämä ero merkitsee enemmän kuin laatikon tarra. Tarkista tarkka tila ja salauksen puretun liikenteen tuettu suodatus siinä versiossa, jonka todella ottaisit käyttöön.

Jos ehdokas ei pysty vastaamaan toiseen kysymykseen säännöllä, jonka voit lukea, se ei ole se raja, jota haluat, vaikka se tekisi muuten kaiken hyvin. Pyydä säännön tekstiä kyllä-vastauksen sijaan ja käsittele epämääräistä vastausta eikä-vastauksena.

Varmista polku kaappauksella, ei piirroksella

Piirros kuvaa aikomuksen ja kaappaus kuvaa käyttäytymisen, joten vahvista, mikä rajapinta kuljettaa ESP:tä ja mikä sisempää virtaa, ennen kuin uskot kumpaakaan.

tcpdump -ni wan0 esp
tcpdump -ni lan0 host 10.60.4.20
ip xfrm policy list

Jos ensimmäinen kaappaus näyttää ESP:n saapuvan ja toinen näyttää sisemmän paketin LAN-puolella, salauksen purkupiste on siellä missä luulet. Jos sisempi paketti ilmestyy segmentille, joka ohittaa palomuurin, reititys on väärin riippumatta siitä, mitä käytäntöteksti sanoo. xfrm-lista näyttää sitten, mitkä valitsimet on asennettu ja mihin suuntaan.

Toista kaappaus paluupolulla, koska epäsymmetrinen reititys on tavallista, kun sivustolla on kaksi mahdollista uloskäyntiä. Tunneli, joka toimii yhteen suuntaan ja aikakatkaisee toiseen, on lähes aina tämä, eikä mikään käytännön muokkaus vastapuolella korjaa sitä.