L’endroit où se termine votre VPN de site décide de ce qui est inspecté

Un tunnel intersite cache un détail qui décide de toute la conception de l’inspection : le dispositif exact où le paquet interne apparaît en clair. Tout ce qui se trouve avant ce point voit de l’ESP, et tout ce qui se trouve après voit de l’IP ordinaire qu’une règle peut intercepter. Placez la frontière au mauvais endroit et le pare-feu que vous avez payé devient un routeur avec une licence. La procédure ci-dessous trace d’abord la ligne, puis demande seulement quel équipement doit la porter.

Tracez la ligne là où le paquet cesse d’être chiffré

En mode tunnel, le paquet d’origine est chiffré puis enveloppé dans un nouvel en-tête IP externe adressé à la passerelle homologue. Ce paquet externe porte le protocole 50 pour l’ESP, si bien que tout dispositif situé entre les deux passerelles peut l’acheminer sans lire les adresses internes. Le premier dispositif qui déchiffre est la frontière de sécurité, et c’est aussi le premier qui peut appliquer une stratégie au flux interne. Tout ce qui se trouve en aval de ce point relève de l’acheminement ordinaire.

Marquez trois éléments sur le schéma : le point de terminaison externe qui admet l’ESP, les réseaux protégés nommés dans la stratégie, et le saut suivant qu’emprunte le paquet déchiffré. Si ces trois éléments ne se trouvent pas sur le même dispositif, vous avez une reprise à concevoir plutôt qu’un point de contrôle unique.

La RFC 4301 appelle le dispositif qui déchiffre une passerelle de sécurité et traite sa stratégie comme une partie de la frontière. C’est un cadre plus utile que la catégorie de produit, car un dispositif est une frontière lorsqu’il détient la stratégie, pas lorsque sa fiche technique indique pare-feu.

Pare-feu en terminaison : un dispositif, un point de stratégie

Lorsque le pare-feu termine le tunnel, le routeur en amont n’a plus qu’à lui livrer l’ESP. Le pare-feu authentifie l’homologue, déchiffre, puis applique ses règles habituelles au paquet interne sur le chemin du VLAN des serveurs. On obtient ainsi un seul endroit où lire la stratégie et un seul endroit où lire les journaux, ce qu’un audit demande généralement.

Vérifiez les deux autorisations séparément. Autoriser IKE et l’ESP vers l’équipement n’est pas la même règle qu’autoriser un site distant à joindre un serveur, et un pare-feu qui accepte le tunnel tout en bloquant le flux interne ressemble exactement, vu de l’autre extrémité, à un tunnel cassé.

Le prix à payer est que le pare-feu se trouve désormais sur le chemin de tout le trafic de site, si bien que son débit, ses limites de session et son comportement de basculement deviennent ceux du tunnel lui-même. Dimensionnez-le pour les flux de site combinés, pas pour le profil d’accès distant pour lequel il a peut-être été acheté.

Routeur en terminaison : le saut d’inspection devient facultatif

Lorsque le routeur déchiffre, le paquet est déjà en clair quand il atteint la table de routage. Si un pare-feu distinct doit inspecter ce trafic, le routeur doit l’envoyer à travers le pare-feu et le chemin de retour doit revenir de la même manière. Une route directe du routeur vers le VLAN des serveurs retire discrètement le pare-feu du chemin tout en le laissant sur le schéma.

C’est la défaillance à rechercher dans un réseau existant : deux routes vers le même préfixe, l’une passant par le pare-feu et l’autre directe, la directe l’emportant sur la longueur de préfixe ou la métrique. Le tunnel continue de faire passer le trafic et l’inspection à laquelle vous croyez n’a pas lieu.

Les tunnels basés sur des routes rendent cela visible, car le tunnel est une interface à travers laquelle vous pouvez router vers un autre dispositif. Les tunnels basés sur des stratégies sélectionnent le trafic par sélecteur, ce qui peut laisser le paquet déchiffré sur le routeur sans autre destination.

Posez les mêmes cinq questions aux deux candidats

Une courte grille de questions vaut mieux qu’une matrice de fonctionnalités, car chaque question correspond à une ligne du schéma. Demandez à chaque candidat :

• Quelles versions d’IKE, quelles méthodes d’authentification des homologues et quels modèles de routage cette version prend-elle réellement en charge ?
• Où l’ESP est-il admis, et où le flux déchiffré est-il autorisé ou refusé ?
• Comment les hôtes locaux apprennent-ils les préfixes distants, et comment le site distant apprend-il les vôtres ?
• Quel débit, quel nombre de sessions et quel comportement de basculement le point de terminaison doit-il supporter pour la charge réelle ?
• Qui est responsable des identifiants des homologues, de la stratégie et du chemin de rétablissement lorsque c’est le tunnel qui est cassé ?

pfSense documente l’IPsec basé sur des stratégies et l’IPsec basé sur des routes comme deux modèles distincts avec des contraintes distinctes, et cette différence compte plus que l’étiquette sur le boîtier. Vérifiez le mode exact et le filtrage pris en charge du trafic déchiffré dans la version que vous déploieriez réellement.

Si un candidat ne peut pas répondre à la deuxième question par une règle que vous pouvez lire, ce n’est pas la frontière que vous voulez, quoi qu’il fasse bien par ailleurs. Demandez le texte de la règle plutôt qu’un oui, et traitez une réponse vague comme un non.

Vérifiez le chemin par une capture, pas par le schéma

Un schéma décrit l’intention et une capture décrit le comportement : confirmez donc quelle interface porte l’ESP et laquelle porte le flux interne avant de faire confiance à l’une ou à l’autre.

tcpdump -ni wan0 esp
tcpdump -ni lan0 host 10.60.4.20
ip xfrm policy list

Si la première capture montre l’ESP qui arrive et la seconde montre le paquet interne côté LAN, le point de déchiffrement est bien là où vous pensez. Si le paquet interne apparaît sur un segment qui contourne le pare-feu, l’acheminement est faux, quoi que dise le texte de la stratégie. La liste xfrm indique alors quels sélecteurs sont installés et dans quel sens.

Répétez la capture sur le chemin de retour, car l’acheminement asymétrique est courant lorsqu’un site dispose de deux sorties possibles. Un tunnel qui fonctionne dans un sens et expire dans l’autre est presque toujours ce cas, et aucune retouche de la stratégie côté distant ne le corrigera.