IPsec tusken twa hosts: wêr’t beskerming begjint en einiget
In hostpear kin keazen floeien beskermje sûnder in gateway. Bepale de einpunten, it belied dat ferkear kiest, en de tastimmingen dy’t apart bliuwe.
Beskerming op in hostpear begjint wêr’t de feiligensassosjaasje einiget, en dat is it feit dat de measte gateway-foarme yntuysje mist. In applikaasjetsjinner en syn databasetsjinner kinne har eigen petear direkt beskermje, sûnder in konsintrator foar ôfstânstagon yn it paad, en de beskermingsgrins leit dan yn elke host ynstee fan yn in firewall. Wat dat jo jout, is dekking fan ein oant ein foar keazen floeien. Wat it jo net jout, is in beslút oer wa’t hokker rige lêze mei.
De grins is wêr’t de SA einiget
RFC 4301 beskriuwt feiligensassosjaasjes yn transportmodus as de regeling dy’t normaal brûkt wurdt tusken in pear hosts foar beskerming fan ein oant ein. Dy twa hosts hâlde de kaaien, en elk beslút hokker fan syn eigen pakketten de assosjaasje yngiet. In gateway-tunnel einiget hielendal earne oars en berikt de host fia in ekstra yntern segmint, wat in oare fertrouwensgrins is sels as it pakket foar it grutste part fan syn reis fersifere is.
Host-oant-host en transportmodus binne lykwols gjin synonimen. Twa hosts kinne likegoed in assosjaasje yn tunnelmodus tusken harren bouwe, dus kies earst de modus en beskriuw dan de einpunten. Skriuw beide yn de ûntwerpnotysje njonken de peer-adressen, want in resinsint dy’t allinnich de modus ken, sil de oare oannimme.
De SPD beslút oer beskerming, de rûte beslút oer rjochting
In routingstabel antwurdet wêr’t in pakket hinne giet. De feiligensbeliedsdatabank antwurdet hoe’t it keazen ferkear de beskermingsgrins oerstekt, en docht dat per rjochting mei syn eigen selektors. Dy skieding is de reden wêrom’t in wurkjende rûte nei de databank neat bewiist oer oft it fersyk beskerme wie, en wêrom’t in fêstige ûnderhanneling neat bewiist oer oft dizze spesifike applikaasje dêrby paste. Fergelykje de selektors foardat jo de tellers fergelykje, want de tellers beskriuwe allinnich de floeien dy’t sa fier kamen.
Op Linux prints ip xfrm policy dy yngongen út mei har rjochting, prioriteit, selektor en aksje fan tastean, blokkearje of fange, wylst ip xfrm state de resultearjende assosjaasjes en har tellers toant. De beide tegearre lêze is hoe’t jo de floei fine dy’t de tunnel stil omgong, om’t in bredere tastien-yngong it earst oerienkaam.
Prioriteitsfolchoarder is part fan it belied, gjin ymplemintaasjedetail. In smelle yngong dy’t de databankpoarte beskermje moat, ferliest fan in bredere yngong mei hegere prioriteit, en de flater liket as wie it belied nea rieplachte.
Transportmodus dekt de folgjende laach, net de IP-kop
| Transport mode | Tunnel mode | |
|---|---|---|
| Original IP header | kept for routing the flow | replaced by an outer header |
| What ESP protects | the carried next-layer payload | the whole inner IP packet |
| Where it terminates | commonly the two hosts | gateway pair, or a host pair |
Yn transportmodus sit de ESP-kop tusken de IP-kop en de lading, en de adresfjilden fan dy kop bliuwe sichtber foar elk apparaat op it paad. Dat is prima as de adressen net it geheim binne en de lading wol. It is de ferkearde kar as jo ek de ynterne topology ferbergje moatte, want allinnich tunnelmodus pakket de oarspronklike kop yn in nije.
Beide modi kinne ferskate protokollen fan de folgjende laach drage, en ESP beskermet wat de selektor oerienkomt ynstee fan alles wat de host stjoert.
Seleksje is smeller as de ferbining
Ien assosjaasje kin ferskate floeien drage, mar allinnich dy’t it belied selektearret. Registrearje de peer-identiteiten, de boarne- en bestimmingsadressen, it protokol en it tsjinstberik foar de relaasje dy’t jo bedoele, en beslút dan apart oft net-oerienkommend ferkear iepen gean mei, beskerme wurde moat, of weilitten wurde moat as de assosjaasje net beskikber is. Dat lêste beslút is dejinge dy’t ferrassingen oplevert, want in regel dy’t beskerming easket foar de ferkearde boarne kin jo eigen behearderstagon like effektyf blokkearje as it in ynkringer blokkearret.
Hâld in goedkarde bûtenbân-paad wylst jo de hânhaving feroarje, en test it foardat jo it nedich hawwe, ynstee fan neidat beide hosts ûnberikber wurden binne.
Masjine-identiteit is gjin applikaasjetastimming
IPsec autentisearret in konfigurearre peer en beskermet keazen pakketten. It beslút net hokker databankrekord in persoan bewurkje mei, en it feroaret in fertroude tsjinneridentiteit net yn in jefte fan elk applikaasjeprivileezje. Applikaasjekonten, rollen en autorisaasje bliuwe krekt wêr’t se wiene, en in TLS-ferplichting op applikaasjenivo hâldt syn eigen doel sels as it netwurkpaad al beskerme is.
Akseptearje it ûntwerp mei ien operaasje fan de bedoelde boarne en ien dy’t wegere wurde moat, en befetsje wat der bart as de fereaske assosjaasje net fêstige wurde kin. In gewoane berikberens-test fertelt jo dat pakketten har ferpleatse; it fertelt jo net dat se har ûnder it belied ferpleatsten dat jo skreaue hawwe.