Wêr't de VPN fan jo side einiget, bepaalt wat der ûndersocht wurdt

In tunnel tusken siden ferberget ien detail dat it hiele ûndersyksûntwerp bepaalt: it krekte apparaat dêr't it binnenste pakket as gewoane tekst ferskynt. Alles foar dat punt sjocht ESP, en alles dêrnei sjocht gewoane IP dy't in regel fange kin. Set de grins op 'e ferkearde plak en de brânmuorre dêr't jo foar betelle hawwe, wurdt in rûter mei in lisinsje. De útwurking hjirûnder tekenet earst de line en freget dan pas hokker apparaat dy besitte moat.

Tekenje de line dêr't it pakket ophâldt fersifere te wêzen

Yn tunnelmodus wurdt it oarspronklike pakket fersifere en yn in nije bûtenste IP-kop wikkele dy't oan 'e partnerpoarte adressearre is. Dy bûtenste pakket draacht protokoll 50 foar ESP, dus elk apparaat tusken de twa poarten kin it rûte sûnder de binnenste adressen te lêzen. It earste apparaat dat ûntsiferet is de feiligensgrins, en it is ek it earste apparaat dat belied op 'e binnenste stream tapasse kin. Alles streamôf fan dat punt is gewoane rûtering.

Markearje trije dingen op 'e tekening: it bûtenste einpunt dat ESP talit, de beskerme netwurken dy't yn it belied neamd wurde, en de folgjende sprong dy't it ûntsifere pakket nimt. As dy trije net op itselde apparaat binne, hawwe jo in oerdracht om te ûntwerpen, net ien kontrôlepunt.

RFC 4301 neamt it apparaat dat ûntsiferet in feiligenspoarte en behannelet syn belied as diel fan 'e grins. Dit is in brûkberder ramt as de produk-kategory, want in apparaat is in grins as it it belied hâldt, net as syn datablêd brânmuorre seit.

Brânmuorre as einpunt: ien apparaat, ien beliedspunt

As de brânmuorre de tunnel einige, hoecht de rûter derboppe allinnich ESP dêrhinne te leverjen. De brânmuorre ferifiearret de partner, ûntsiferet, en past dan syn gewoane regels ta op it binnenste pakket ûnderweis nei de tsjinner-VLAN. Dat jout ien plak om belied te lêzen en ien plak om logboeken te lêzen, wat in audit gewoanwei freget.

Kontrolearje de twa tastimmingen apart. IKE en ESP nei it apparaat tastean is net deselde regel as in ôfstân side tastean in tsjinner te berikken, en in brânmuorre dy't de tunnel akseptearret wylst er de binnenste stream blokkearret, liket fan 'e ôfstân kant krekt as in stikken tunnel.

De kosten binne dat de brânmuorre no op 'e wei fan al it sideferkear leit, dus syn trochset, sesjelimiten en falgedrach wurde it gedrach fan 'e tunnel sels. Dimensjonearje it foar de kombinearre side-streamen, net foar it ôfstân tagongprofyl dêr't it miskien foar kocht is.

Rûter as einpunt: de ûndersykssprong wurdt opsjoneel

As de rûter ûntsiferet, is it pakket al iepen as it de rûteringstabel berikt. As in aparte brânmuorre dat ferkear ûndersykje moat, moat de rûter it troch de brânmuorre stjoere en de weromwei moat itselde weromkomme. In direkte rûte fan 'e rûter nei de tsjinner-VLAN hellet de brânmuorre stil fan 'e wei wylst er op 'e tekening bliuwt.

Dit is de fout om yn in besteand netwurk te sykjen: twa rûtes nei itselde foarheaksel, ien troch de brânmuorre en ien direkt, en de direkte wint op foarheaksel lingte of metryk. De tunnel lit noch ferkear troch en it ûndersyk dêr't jo yn leauwe, bart net.

Rûtebasearre tunnels meitsje dit sichtber, want de tunnel is in ynterface dêr't jo troch in oar apparaat rûte kinne. Beliedsbasearre tunnels kieze ferkear mei in selektor, wat it ûntsifere pakket op 'e rûter litte kin sûnder in oar plak om hinne te gean.

Freegje beide kandidaten deselde fiif fragen

In koart wurkblêd ferslacht in funksjematriks, want elke fraach heart by ien line op 'e tekening. Freegje elke kandidaat:

• Hokker IKE-ferzjes, hokker partnerferifikaasjemetoaden en rûteringsmodellen stypet dizze ferzje echt?
• Wêr wurdt ESP talitten, en wêr wurdt de ûntsifere stream tastien of wegere?
• Hoe leare lokale hosts de ôfstân foarheaksels, en hoe leart de oare kant sines?
• Hokker trochset, sesjetal en falgedrach moat it einpunt foar de echte wurklast ferneare?
• Wa is eigner fan 'e partnerbewiisstikken, it belied en de werstelwei as de tunnel it stikken ding is?

pfSense dokumintearret beliedsbasearre en rûtebasearre IPsec as aparte modellen mei aparte beheiningen, en dat ferskil jildt mear as it label op 'e doaze. Kontrolearje de krekte modus en de stipe filtering fan ûntsifere ferkear yn 'e ferzje dy't jo echt útein sette soene.

As in kandidaat de twadde fraach net beantwurdzje kin mei in regel dy't jo lêze kinne, is dat net de grins dy't jo wolle, hoe goed oft er ek al it oare docht. Freegje om 'e tekst fan 'e regel ynstee fan in ja, en behannelje in ûndúdlik antwurd as in nee.

Ferifiearje de wei mei in opname, net mei de tekening

In tekening beskriuwt de bedoeling en in opname beskriuwt it gedrach, dus befêstigje hokker ynterface ESP draacht en hokker de binnenste stream, foardat jo ien fan beiden fertrouwe.

tcpdump -ni wan0 esp
tcpdump -ni lan0 host 10.60.4.20
ip xfrm policy list

As de earste opname sjen lit dat ESP komt en de twadde it binnenste pakket oan 'e LAN-kant, is it ûntsiferpunt dêr't jo tinke. As it binnenste pakket op in segmint ferskynt dat de brânmuorre omgiet, is de rûtering ferkeard, wat de beliedstekst ek seit. De xfrm-list lit dan sjen hokker selektors ynstallearre binne en yn hokker rjochting.

Werhelje de opname op 'e weromwei, want asymmetryske rûtering is gewoan as in side twa mooglike útgongen hat. In tunnel dy't yn ien rjochting wurket en yn 'e oare op in time-out rint, is hast altyd dit, en gjin beliedsbewurking oan 'e oare kant reparrearet it.