Gdje završava VPN vaše lokacije određuje što se pregledava

Tunel između lokacija skriva pojedinost koja određuje cijeli dizajn pregleda: točan uređaj na kojem se unutarnji paket pojavljuje u čistom obliku. Sve prije te točke vidi ESP, a sve nakon nje vidi obični IP koji pravilo može uhvatiti. Postavite granicu na pogrešno mjesto i vatrozid koji ste platili postaje usmjerivač s licencijom. Prikaz u nastavku najprije crta liniju i tek onda pita koji uređaj treba njome upravljati.

Nacrtajte liniju tamo gdje paket prestaje biti šifriran

U tunelskom načinu rada izvorni se paket šifrira i umata u novo vanjsko IP zaglavlje adresirano na partnerski pristupnik. To vanjsko zaglavlje nosi protokol 50 za ESP, pa ga svaki uređaj između dvaju pristupnika može usmjeriti bez čitanja unutarnjih adresa. Prvi uređaj koji dešifrira jest sigurnosna granica i ujedno prvi koji može primijeniti politiku na unutarnji tok. Sve nizvodno od te točke obično je usmjeravanje.

Označite tri stvari na crtežu: vanjsku krajnju točku koja propušta ESP, zaštićene mreže navedene u politici, i sljedeći skok koji dešifrirani paket čini. Ako te tri stvari nisu na istom uređaju, imate prijelaz koji treba osmisliti, a ne jednu kontrolnu točku.

RFC 4301 naziva uređaj koji dešifrira sigurnosnim pristupnikom i njegovu politiku tretira kao dio granice. To je korisniji okvir od kategorije proizvoda, jer je uređaj granica kada drži politiku, a ne kada njegov podatkovni list kaže vatrozid.

Vatrozid kao završetak: jedan uređaj, jedna točka politike

Kada vatrozid završi tunel, usmjerivač iznad mora mu samo dostaviti ESP. Vatrozid provjerava identitet partnera, dešifrira i zatim primjenjuje svoja uobičajena pravila na unutarnji paket na putu prema VLAN-u poslužitelja. Tako postoji jedno mjesto za čitanje politike i jedno mjesto za čitanje zapisa, što revizija obično traži.

Provjerite dvije dozvole odvojeno. Dopustiti IKE i ESP prema uređaju nije isto pravilo kao dopustiti udaljenoj lokaciji da dosegne poslužitelj, a vatrozid koji prihvaća tunel blokirajući unutarnji tok izgleda s druge strane točno kao pokvaren tunel.

Cijena je da vatrozid sada stoji na putu cjelokupnog prometa lokacije, pa njegova propusnost, ograničenja sesija i ponašanje pri prebacivanju postaju ponašanje samog tunela. Dimenzionirajte ga za združene tokove lokacije, a ne za profil udaljenog pristupa za koji je možda kupljen.

Usmjerivač kao završetak: skok pregleda postaje neobavezan

Kada usmjerivač dešifrira, paket je već čist kada dođe do tablice usmjeravanja. Ako zaseban vatrozid treba pregledavati taj promet, usmjerivač ga mora poslati kroz vatrozid, a povratni put mora se vratiti istim putem. Izravna ruta od usmjerivača do VLAN-a poslužitelja tiho uklanja vatrozid s puta, ostavljajući ga na crtežu.

To je kvar koji treba tražiti u postojećoj mreži: dvije rute prema istom prefiksu, jedna kroz vatrozid i jedna izravna, pri čemu izravna pobjeđuje po duljini prefiksa ili metrici. Tunel i dalje propušta promet, a pregled u koji vjerujete ne događa se.

Tuneli zasnovani na rutama čine to vidljivim, jer je tunel sučelje kroz koje možete usmjeravati preko drugog uređaja. Tuneli zasnovani na politikama odabiru promet po selektoru, što može ostaviti dešifrirani paket na usmjerivaču bez drugog odredišta.

Postavite obama kandidatima istih pet pitanja

Kratak radni list pobjeđuje matricu značajki, jer svako pitanje odgovara jednoj liniji na crtežu. Pitajte svakog kandidata:

• Koje verzije IKE, koje metode provjere identiteta partnera i koje modele usmjeravanja ova verzija doista podržava?
• Gdje se ESP propušta i gdje je dešifrirani tok dopušten ili zabranjen?
• Kako lokalni hostovi uče udaljene prefikse i kako druga strana uči vaše?
• Koju propusnost, broj sesija i ponašanje pri prebacivanju krajnja točka mora izdržati za stvarno opterećenje?
• Ko je odgovoran za vjerodajnice partnera, politiku i put oporavka kada je tunel ta pokvarena stvar?

pfSense dokumentira IPsec zasnovan na politikama i IPsec zasnovan na rutama kao odvojene modele s odvojenim ograničenjima, i ta razlika vrijedi više od naljepnice na kutiji. Provjerite točan način rada i podržano filtriranje dešifriranog prometa u verziji koju biste doista primijenili.

Ako kandidat ne može odgovoriti na drugo pitanje pravilom koje možete pročitati, to nije granica koju želite, koliko god dobro radio sve ostalo. Tražite tekst pravila umjesto „da“ i nejasan odgovor tretirajte kao „ne“.

Provjerite put snimkom, a ne crtežom

Crtež opisuje namjeru, a snimka opisuje ponašanje, zato potvrdite koje sučelje nosi ESP, a koje unutarnji tok prije nego što povjerujete bilo kojemu od njih.

tcpdump -ni wan0 esp
tcpdump -ni lan0 host 10.60.4.20
ip xfrm policy list

Ako prva snimka pokazuje ESP koji dolazi, a druga pokazuje unutarnji paket na strani LAN-a, točka dešifriranja je tamo gdje mislite. Ako se unutarnji paket pojavi na segmentu koji zaobilazi vatrozid, usmjeravanje je pogrešno, što god govorio tekst politike. Popis xfrm zatim pokazuje koji su selektori instalirani i u kojem smjeru.

Ponovite snimku na povratnom putu, jer je asimetrično usmjeravanje uobičajeno kada lokacija ima dva moguća izlaza. Tunel koji radi u jednom smjeru, a u drugom istječe, gotovo je uvijek to, i nikakvo uređivanje politike na drugoj strani to neće popraviti.