Hol végződik a helyszínek közötti VPN, meghatározza, mit vizsgálnak

A helyszínek közötti alagút elrejt egy részletet, amely az egész vizsgálati tervet meghatározza: azt a pontos eszközt, ahol a belső csomag nyílt szövegként megjelenik. Minden e pont előtt ESP-t lát, és minden utána olyan közönséges IP-t, amelyre egy szabály illeszkedhet. Rossz helyre teszi a határt, és a tűzfal, amiért fizetett, licences routerré válik. Az alábbi áttekintés először meghúzza a vonalat, és csak utána kérdezi meg, melyik eszköznek kell birtokolnia.

Húzza meg a vonalat ott, ahol a csomag már nem titkosított

Alagút módban az eredeti csomag titkosításra kerül, és egy új külső IP-fejlécbe csomagolják, amely a partner átjárónak van címezve. Ez a külső csomag az ESP 50-es protokollját hordozza, így a két átjáró közötti bármely eszköz továbbíthatja anélkül, hogy elolvasná a belső címeket. Az első eszköz, amely visszafejt, a biztonsági határ, és egyben az első eszköz, amely szabályzatot alkalmazhat a belső folyamra. Minden, ami e pont alatt van, közönséges útválasztás.

Jelöljön meg három dolgot a rajzon: a külső végpontot, amely beengedi az ESP-t, a szabályzatban megnevezett védett hálózatokat, és a következő ugrást, amelyet a visszafejtett csomag megtesz. Ha ez a három nincs ugyanazon az eszközön, akkor egy átadást kell terveznie, nem egyetlen ellenőrzési pontot.

Az RFC 4301 a visszafejtő eszközt biztonsági átjárónak nevezi, és szabályzatát a határ részének tekinti. Ez hasznosabb keret, mint a termékkategória, mert egy eszköz akkor határ, ha nála van a szabályzat, és nem akkor, ha az adatlapján tűzfal áll.

Tűzfal mint végpont: egy eszköz, egy szabályzati pont

Amikor a tűzfal lezárja az alagutat, a felsőbb routernek már csak el kell juttatnia hozzá az ESP-t. A tűzfal hitelesíti a partnert, visszafejt, majd a szokásos szabályait alkalmazza a belső csomagra a szerver VLAN felé vezető úton. Így egy helyen olvasható a szabályzat és egy helyen a napló, amit egy audit általában kér.

Ellenőrizze a két engedélyt külön. Az IKE és az ESP engedélyezése az eszköz felé nem ugyanaz a szabály, mint engedni, hogy egy távoli helyszín elérjen egy szervert, és az a tűzfal, amely elfogadja az alagutat, miközben blokkolja a belső folyamot, a túloldalról pontosan úgy néz ki, mint egy törött alagút.

Az ára az, hogy a tűzfal most a teljes helyszíni forgalom útján fekszik, így az áteresztőképessége, munkamenet-korlátai és átkapcsolási viselkedése magának az alagútnak a viselkedésévé válnak. Méretezze az egyesített helyszíni folyamokra, és ne arra a távoli hozzáférési profilra, amelyre esetleg megvásárolták.

Router mint végpont: a vizsgálati ugrás választhatóvá válik

Amikor a router fejt vissza, a csomag már nyílt, amikor eléri az útválasztási táblát. Ha külön tűzfalnak kell vizsgálnia ezt a forgalmat, a routernek át kell küldenie a tűzfalon, és a visszaútnak ugyanazon az úton kell visszatérnie. A router és a szerver VLAN közötti közvetlen útvonal csendben eltávolítja a tűzfalat az útból, miközben a rajzon hagyja.

Ez az a hiba, amelyet egy meglévő hálózatban keresni kell: két útvonal ugyanahhoz a prefixhez, az egyik a tűzfalon át, a másik közvetlenül, és a közvetlen nyer a prefix hossza vagy a metrika alapján. Az alagút továbbra is átengedi a forgalmat, és a vizsgálat, amelyben hisz, nem történik meg.

Az útvonalalapú alagutak ezt láthatóvá teszik, mert az alagút egy interfész, amelyen keresztül egy másik eszközön át irányíthat. A szabályzatalapú alagutak szelektor szerint választják ki a forgalmat, ami a visszafejtett csomagot a routeren hagyhatja más cél nélkül.

Tegye fel mindkét jelöltnek ugyanazt az öt kérdést

Egy rövid munkalap legyőzi a funkciómátrixot, mert minden kérdés a rajz egy vonalának felel meg. Kérdezze meg mindegyik jelöltet:

• Mely IKE-verziókat, milyen partner-hitelesítési módszereket és útválasztási modelleket támogat ez a kiadás valójában?
• Hol engedik be az ESP-t, és hol engedélyezett vagy tiltott a visszafejtett folyam?
• Hogyan tanulják meg a helyi hosztok a távoli prefixeket, és hogyan tanulja meg a túloldal az önét?
• Milyen áteresztőképességet, munkamenetszámot és átkapcsolási viselkedést kell a végpontnak elviselnie a valódi terheléshez?
• Ki felel a partner hitelesítő adataiért, a szabályzatért és a helyreállítási útért, amikor maga az alagút a hibás?

A pfSense a szabályzatalapú és az útvonalalapú IPsecet külön modellként dokumentálja, külön korlátokkal, és ez a különbség többet számít, mint a dobozon lévő címke. Ellenőrizze a pontos módot és a visszafejtett forgalom támogatott szűrését abban a kiadásban, amelyet valóban telepítene.

Ha egy jelölt nem tud válaszolni a második kérdésre egy olvasható szabállyal, akkor nem az a határ, amelyet szeretne, bármilyen jól is csinál minden mást. Kérje a szabály szövegét az igen helyett, és a homályos választ kezelje nemként.

Ellenőrizze az utat rögzítéssel, ne rajzzal

A rajz a szándékot írja le, a rögzítés a viselkedést, ezért erősítse meg, melyik interfész viszi az ESP-t és melyik a belső folyamot, mielőtt bármelyiknek hinne.

tcpdump -ni wan0 esp
tcpdump -ni lan0 host 10.60.4.20
ip xfrm policy list

Ha az első rögzítés érkező ESP-t mutat, a második pedig a belső csomagot a LAN oldalon, akkor a visszafejtési pont ott van, ahol gondolja. Ha a belső csomag olyan szegmensen jelenik meg, amely megkerüli a tűzfalat, az útválasztás hibás, bármit is mond a szabályzat szövege. Az xfrm lista ezután megmutatja, mely szelektorok vannak telepítve és milyen irányban.

Ismételje meg a rögzítést a visszaúton, mert az aszimmetrikus útválasztás gyakori, ha egy helyszínnek két lehetséges kijárata van. Az alagút, amely egy irányban működik, a másikban pedig időtúllépésbe fut, szinte mindig ez, és a túloldali szabályzat szerkesztése nem javítja meg.