आपकी साइट का VPN कहाँ खत्म होता है यह तय करता है कि क्या जाँचा जाएगा

साइटों के बीच का सुरंग एक ऐसी बारीकी छिपाता है जो पूरे निरीक्षण डिज़ाइन को तय करती है: वही उपकरण जिस पर भीतरी पैकेट साफ़ पाठ में दिखाई देता है। उस बिंदु से पहले सब कुछ ESP देखता है, और उसके बाद सब कुछ सामान्य IP देखता है जिसे कोई नियम पकड़ सकता है। सीमा को गलत जगह रखें और जिस फ़ायरवॉल के लिए आपने भुगतान किया वह लाइसेंस वाला राउटर बन जाता है। नीचे दिया गया विवरण पहले रेखा खींचता है और उसके बाद ही पूछता है कि कौन सा उपकरण उसका मालिक होना चाहिए।

रेखा वहाँ खींचें जहाँ पैकेट अब एन्क्रिप्टेड नहीं रहता

टनल मोड में मूल पैकेट एन्क्रिप्ट होता है और एक नए बाहरी IP हेडर में लपेटा जाता है जो सहकर्मी गेटवे को संबोधित होता है। वह बाहरी पैकेट ESP के लिए प्रोटोकॉल 50 ले जाता है, इसलिए दोनों गेटवे के बीच का कोई भी उपकरण भीतरी पतों को पढ़े बिना उसे रूट कर सकता है। पहला उपकरण जो डिक्रिप्ट करता है वही सुरक्षा सीमा है, और वही पहला उपकरण भी है जो भीतरी प्रवाह पर नीति लागू कर सकता है। उस बिंदु के नीचे सब कुछ सामान्य रूटिंग है।

चित्र पर तीन चीज़ें चिह्नित करें: बाहरी अंतिम बिंदु जो ESP स्वीकार करता है, नीति में नामित संरक्षित नेटवर्क, और अगली छलांग जो डिक्रिप्ट किया गया पैकेट लेता है। यदि ये तीन एक ही उपकरण पर न हों तो आपके पास डिज़ाइन करने योग्य हैंडऑफ़ है, एकल नियंत्रण बिंदु नहीं।

RFC 4301 डिक्रिप्ट करने वाले उपकरण को सुरक्षा गेटवे कहता है और उसकी नीति को सीमा का हिस्सा मानता है। यह उत्पाद श्रेणी से अधिक उपयोगी ढाँचा है, क्योंकि उपकरण तब सीमा होता है जब वह नीति रखता है, तब नहीं जब उसकी डेटा शीट फ़ायरवॉल कहती है।

फ़ायरवॉल समापन के रूप में: एक उपकरण, एक नीति बिंदु

जब फ़ायरवॉल सुरंग समाप्त करता है, तो ऊपरी राउटर को केवल ESP उसे सौंपना होता है। फ़ायरवॉल सहकर्मी को प्रमाणित करता है, डिक्रिप्ट करता है और फिर सर्वर VLAN की ओर जाते हुए भीतरी पैकेट पर अपने सामान्य नियम लागू करता है। इससे नीति पढ़ने की एक जगह और लॉग पढ़ने की एक जगह बनती है, जो आम तौर पर ऑडिट माँगता है।

दोनों अनुमतियाँ अलग-अलग जाँचें। उपकरण तक IKE और ESP की अनुमति देना वही नियम नहीं है जो किसी दूरस्थ साइट को सर्वर तक पहुँचने की अनुमति देना है, और जो फ़ायरवॉल सुरंग स्वीकार करता है पर भीतरी प्रवाह अवरुद्ध करता है, वह दूसरे छोर से बिलकुल टूटी सुरंग जैसा दिखता है।

कीमत यह है कि फ़ायरवॉल अब साइट के सारे ट्रैफ़िक के रास्ते पर है, इसलिए उसका थ्रूपुट, सत्र सीमाएँ और विफलता पर स्विच होने का व्यवहार खुद सुरंग का व्यवहार बन जाता है। इसे संयुक्त साइट प्रवाहों के लिए मापें, न कि उस दूरस्थ पहुँच प्रोफ़ाइल के लिए जिसके लिए यह शायद खरीदा गया था।

राउटर समापन के रूप में: निरीक्षण की छलांग वैकल्पिक हो जाती है

जब राउटर डिक्रिप्ट करता है, तो पैकेट रूटिंग तालिका तक पहुँचते समय पहले से साफ़ होता है। यदि कोई अलग फ़ायरवॉल उस ट्रैफ़िक का निरीक्षण करे, तो राउटर को उसे फ़ायरवॉल से होकर भेजना होगा और वापसी मार्ग को उसी तरह लौटना होगा। राउटर से सर्वर VLAN तक सीधा मार्ग चुपचाप फ़ायरवॉल को रास्ते से हटा देता है जबकि उसे चित्र में बना रहने देता है।

यही वह खराबी है जिसे मौजूदा नेटवर्क में खोजना चाहिए: एक ही प्रीफ़िक्स के दो मार्ग, एक फ़ायरवॉल से और एक सीधा, और सीधा प्रीफ़िक्स लंबाई या मीट्रिक पर जीत जाता है। सुरंग अब भी ट्रैफ़िक गुज़ारती है और जिस निरीक्षण पर आप विश्वास करते हैं वह नहीं होता।

मार्ग आधारित सुरंगें इसे दिखाती हैं, क्योंकि सुरंग एक इंटरफ़ेस है जिसके ज़रिए किसी दूसरे उपकरण से रूट किया जा सकता है। नीति आधारित सुरंगें ट्रैफ़िक को चयनकर्ता से चुनती हैं, जो डिक्रिप्ट किए गए पैकेट को राउटर पर बिना किसी और गंतव्य के छोड़ सकता है।

दोनों उम्मीदवारों से वही पाँच प्रश्न पूछें

छोटी कार्यपत्रिका विशेषता मैट्रिक्स से बेहतर है, क्योंकि हर प्रश्न चित्र की एक रेखा से मेल खाता है। हर उम्मीदवार से पूछें:

• कौन से IKE संस्करण, कौन सी सहकर्मी प्रमाणीकरण विधियाँ और रूटिंग मॉडल यह रिलीज़ वास्तव में समर्थित करती है?
• ESP कहाँ स्वीकार किया जाता है और डिक्रिप्ट किया गया प्रवाह कहाँ अनुमत या अस्वीकृत है?
• स्थानीय मेज़बान दूरस्थ प्रीफ़िक्स कैसे सीखते हैं और दूसरा पक्ष आपके कैसे सीखता है?
• वास्तविक भार के लिए अंतिम बिंदु को कितना थ्रूपुट, कितने सत्र और विफलता पर स्विच होने का कैसा व्यवहार सहना होगा?
• जब सुरंग ही खराब चीज़ हो तो सहकर्मी के क्रेडेंशियल, नीति और पुनर्प्राप्ति मार्ग का मालिक कौन है?

pfSense नीति आधारित और मार्ग आधारित IPsec को अलग-अलग सीमाओं वाले अलग मॉडल के रूप में प्रलेखित करता है, और यह अंतर डिब्बे के लेबल से अधिक मायने रखता है। जिस रिलीज़ को आप वास्तव में तैनात करेंगे उसमें सटीक मोड और डिक्रिप्ट किए गए ट्रैफ़िक की समर्थित फ़िल्टरिंग जाँचें।

यदि कोई उम्मीदवार दूसरे प्रश्न का उत्तर ऐसे नियम से नहीं दे सकता जिसे आप पढ़ सकें, तो वह वह सीमा नहीं है जो आप चाहते हैं, चाहे वह बाकी सब कुछ कितना भी अच्छा करे। हाँ के बजाय नियम का पाठ माँगें और अस्पष्ट उत्तर को न मानें।

मार्ग को कैप्चर से सत्यापित करें, चित्र से नहीं

चित्र इरादा बताता है और कैप्चर व्यवहार, इसलिए किसी एक पर भरोसा करने से पहले पुष्टि करें कि कौन सा इंटरफ़ेस ESP और कौन सा भीतरी प्रवाह ले जाता है।

tcpdump -ni wan0 esp
tcpdump -ni lan0 host 10.60.4.20
ip xfrm policy list

यदि पहला कैप्चर ESP का आना दिखाता है और दूसरा भीतरी पैकेट को LAN की ओर दिखाता है, तो डिक्रिप्शन बिंदु वहीं है जहाँ आप सोचते हैं। यदि भीतरी पैकेट ऐसे खंड पर दिखाई दे जो फ़ायरवॉल को दरकिनार करता है, तो रूटिंग गलत है, नीति का पाठ कुछ भी कहे। xfrm सूची फिर दिखाती है कि कौन से चयनकर्ता स्थापित हैं और किस दिशा में।

वापसी मार्ग पर कैप्चर दोहराएँ, क्योंकि असममित रूटिंग तब आम है जब किसी साइट के दो संभावित निकास हों। जो सुरंग एक दिशा में काम करती है और दूसरी में समय-सीमा पर समाप्त हो जाती है, वह लगभग हमेशा यही होती है, और दूसरी ओर नीति का कोई संपादन उसे ठीक नहीं करता।