Onde remata a VPN do teu sitio decide que se inspecciona

Un túnel entre sitios agocha un detalle que decide todo o deseño da inspección: o dispositivo exacto onde o paquete interno aparece en claro. Todo o anterior a ese punto ve ESP, e todo o posterior ve IP normal que unha regra pode capturar. Pon a fronteira no lugar equivocado e o cortafuegos polo que pagaches convértese nun enrutador cunha licenza. A guía de abaixo traza primeiro a liña e só despois pregunta que equipo debe posuíla.

Trace a liña onde o paquete deixa de estar cifrado

En modo túnel o paquete orixinal cífrase e envolve nunha nova cabeceira IP externa dirixida á porta de enlace compañeira. Esa cabeceira externa leva o protocolo 50 para ESP, así que calquera dispositivo entre as dúas portas de enlace pode encamiñalo sen ler os enderezos internos. O primeiro dispositivo que descifra é a fronteira de seguridade, e tamén é o primeiro que pode aplicar políticas ao fluxo interno. Todo o que queda augas abaixo dese punto é encamiñamento normal.

Marque tres cousas no debuxo: o punto final externo que admite ESP, as redes protexidas nomeadas na política, e o seguinte salto que dá o paquete descifrado. Se eses tres non están no mesmo dispositivo, ten unha entrega que deseñar, non un único punto de control.

RFC 4301 chama ao dispositivo que descifra porta de enlace de seguridade e trata a súa política como parte da fronteira. Este é un marco máis útil ca a categoría de produto, porque un dispositivo é fronteira cando posúe a política, non cando a súa ficha técnica di cortafuegos.

Cortafuegos como terminación: un dispositivo, un punto de política

Cando o cortafuegos termina o túnel, o enrutador de arriba só ten que lle entregar ESP. O cortafuegos autentica o compañeiro, descifra e logo aplica as súas regras habituais ao paquete interno de camiño á VLAN dos servidores. Isto dá un único lugar para ler a política e un único lugar para ler os rexistros, que é o que adoita pedir unha auditoría.

Comprobe os dous permisos por separado. Permitir IKE e ESP cara ao dispositivo non é a mesma regra ca permitir que un sitio remoto chegue a un servidor, e un cortafuegos que acepta o túnel mentres bloquea o fluxo interno parece exactamente un túnel roto desde o extremo remoto.

O custo é que o cortafuegos agora está no camiño de todo o tráfico do sitio, así que o seu rendemento, os límites de sesión e o comportamento de conmutación por erro pasan a ser os do propio túnel. Dimensióneo para os fluxos combinados do sitio, non para o perfil de acceso remoto polo que quizais se mercou.

Enrutador como terminación: o salto de inspección vólvese opcional

Cando o enrutador descifra, o paquete xa está claro cando chega á táboa de encamiñamento. Se un cortafuegos aparte debe inspeccionar ese tráfico, o enrutador ten que envialo a través do cortafuegos e a ruta de volta ten que volver do mesmo xeito. Unha ruta directa do enrutador á VLAN dos servidores retira o cortafuegos do camiño sen facer ruído, pero déixao no diagrama.

Este é o fallo que hai que buscar nunha rede existente: dúas rutas ao mesmo prefixo, unha polo cortafuegos e outra directa, e a directa gaña pola lonxitude do prefixo ou pola métrica. O túnel segue pasando tráfico e a inspección na que cree non ocorre.

Os túneles baseados en rutas fan isto visible, porque o túnel é unha interface pola que pode encamiñar a través doutro dispositivo. Os túneles baseados en políticas seleccionan o tráfico por selector, o que pode deixar o paquete descifrado no enrutador sen outro destino.

Faga as mesmas cinco preguntas aos dous candidatos

Unha folla de traballo curta gaña a unha matriz de funcións, porque cada pregunta corresponde a unha liña do debuxo. Pregunte a cada candidato:

• Que versións de IKE, que métodos de autenticación de compañeiros e que modelos de encamiñamento admite realmente esta versión?
• Onde se admite ESP e onde se permite ou se denega o fluxo descifrado?
• Como aprenden os equipos locais os prefixos remotos e como aprende o extremo remoto os seus?
• Que rendemento, cantas sesións e que comportamento de conmutación por erro debe soportar o punto final para a carga real?
• Quen é responsable das credenciais do compañeiro, da política e da ruta de recuperación cando o túnel é o que está roto?

pfSense documenta IPsec baseado en políticas e baseado en rutas como modelos separados con restricións separadas, e esa diferenza importa máis ca etiqueta da caixa. Comprobe o modo exacto e o filtrado admitido do tráfico descifrado na versión que realmente despregaría.

Se un candidato non pode responder á segunda pregunta cunha regra que poida ler, non é a fronteira que quere, por moi ben que faga todo o demais. Pida o texto da regra en lugar dun si, e trate unha resposta vaga como un non.

Verifique a ruta cunha captura, non co diagrama

Un diagrama describe a intención e unha captura describe o comportamento, así que confirme que interface leva ESP e cal leva o fluxo interno antes de confiar nunha das dúas.

tcpdump -ni wan0 esp
tcpdump -ni lan0 host 10.60.4.20
ip xfrm policy list

Se a primeira captura mostra ESP chegando e a segunda mostra o paquete interno no lado LAN, o punto de descifrado está onde pensa. Se o paquete interno aparece nun segmento que evita o cortafuegos, o encamiñamento está mal, diga o que diga o texto da política. A listaxe de xfrm mostra entón que selectores están instalados e en que dirección.

Repita a captura na ruta de volta, porque o encamiñamento asimétrico é habitual cando un sitio ten dúas saídas posibles. Un túnel que funciona nunha dirección e caduca na outra é case sempre isto, e ningunha edición da política no extremo remoto o arranxa.