Ձեր կայքի VPN-ն որտեղ է ավարտվում, դա է որոշում ինչ է ստուգվում

Կայքերի միջև թունելը թաքցնում է մի մանրամասն, որը որոշում է ամբողջ ստուգման ձևավորումը՝ այն սարքը, որտեղ ներքին փաթեթը հայտնվում է բաց տեքստով։ Այդ կետից առաջ ամեն ինչ տեսնում է ESP, իսկ դրանից հետո ամեն ինչ տեսնում է սովորական IP, որը կանոնը կարող է բռնել։ Սահմանը սխալ տեղում դրեք, և ձեր վճարած հրային պատը դառնում է լիցենզիայով երթուղիչ։ Ներքևի ուղեցույցը նախ գծում է գիծը և միայն հետո հարցնում, թե որ սարքը պետք է տիրի դրան։

Գծեք գիծը այնտեղ, որտեղ փաթեթն այլևս գաղտնագրված չէ

Թունելային ռեժիմում սկզբնական փաթեթը գաղտնագրվում և փաթաթվում է նոր արտաքին IP վերնագրի մեջ, որը հասցեագրված է գործընկեր դարպասին։ Այդ արտաքին փաթեթը կրում է 50 արձանագրությունը ESP-ի համար, ուստի երկու դարպասների միջև ցանկացած սարք կարող է երթուղավորել այն՝ չկարդալով ներքին հասցեները։ Առաջին սարքը, որը վերծանում է, անվտանգության սահմանն է, և այն նաև առաջին սարքն է, որը կարող է քաղաքականություն կիրառել ներքին հոսքի վրա։ Այդ կետից ներքև ամեն ինչ սովորական երթուղավորում է։

Գծագրի վրա նշեք երեք բան՝ արտաքին վերջնակետը, որը թույլ է տալիս ESP, քաղաքականության մեջ նշված պաշտպանված ցանցերը՝ և հաջորդ ցատկը, որը կատարում է վերծանված փաթեթը։ Եթե այս երեքը նույն սարքում չեն, դուք ունեք նախագծման կարիք ունեցող հանձնում, այլ ոչ թե մեկ վերահսկման կետ։

RFC 4301-ը վերծանող սարքը կոչում է անվտանգության դարպաս և նրա քաղաքականությունը համարում սահմանի մաս։ Սա ավելի օգտակար շրջանակ է, քան ապրանքի կատեգորիան, որովհետև սարքը սահման է, երբ պահում է քաղաքականությունը, և ոչ թե երբ նրա տվյալների թերթիկում գրված է հրային պատ։

Հրային պատը որպես ավարտ՝ մեկ սարք, մեկ քաղաքականության կետ

Երբ հրային պատը ավարտում է թունելը, վերևի երթուղիչին մնում է միայն ESP-ն հանձնելը։ Հրային պատը վավերացնում է գործընկերոջը, վերծանում, ապա իր սովորական կանոնները կիրառում ներքին փաթեթի վրա դեպի սերվերների VLAN տանող ճանապարհին։ Այսպես լինում է մեկ տեղ քաղաքականությունը կարդալու և մեկ տեղ մատյանները կարդալու համար, ինչը սովորաբար պահանջում է աուդիտը։

Ստուգեք երկու թույլտվություններն առանձին։ IKE-ի և ESP-ի թույլատրումը դեպի սարքը նույն կանոնը չէ, ինչ հեռավոր կայքին սերվերին հասնելու թույլտվությունը, և հրային պատը, որը ընդունում է թունելը՝ արգելափակելով ներքին հոսքը, հեռավոր ծայրից ուղիղ կոտրված թունելի տեսք ունի։

Գինն այն է, որ հրային պատը հիմա կանգնած է կայքի ամբողջ թրաֆիկի ճանապարհին, ուստի նրա թողունակությունը, սեսիաների սահմանները և ձախողման ժամանակ փոխարկվելու վարքը դառնում են հենց թունելի վարքը։ Չափավորեք այն կայքի միավորված հոսքերի համար, և ոչ թե հեռավոր մուտքի այն պրոֆիլի համար, որի համար գուցե գնվել է։

Երթուղիչը որպես ավարտ՝ ստուգման ցատկը դառնում է ըստ ցանկության

Երբ երթուղիչը վերծանում է, փաթեթն արդեն բաց է, երբ հասնում է երթուղավորման աղյուսակին։ Եթե առանձին հրային պատ պետք է ստուգի այդ թրաֆիկը, երթուղիչը պետք է ուղարկի այն հրային պատի միջով, և վերադարձի ուղին պետք է նույն ձևով վերադառնա։ Երթուղիչից սերվերների VLAN ուղիղ երթուղին լուռ հեռացնում է հրային պատը ճանապարհից՝ թողնելով այն գծագրի վրա։

Սա այն խափանումն է, որը պետք է փնտրել գոյություն ունեցող ցանցում՝ երկու երթուղի դեպի նույն նախածանցը, մեկը հրային պատի միջով և մեկը ուղիղ, և ուղիղը հաղթում է նախածանցի երկարությամբ կամ մետրիկայով։ Թունելը դեռ անցկացնում է թրաֆիկ, և այն ստուգումը, որին հավատում եք, չի կատարվում։

Երթուղիների վրա հիմնված թունելները տեսանելի են դարձնում դա, որովհետև թունելը ինտերֆեյս է, որի միջով կարելի է երթուղավորել մեկ այլ սարքով։ Քաղաքականության վրա հիմնված թունելները թրաֆիկն ընտրում են ընտրիչով, ինչը կարող է վերծանված փաթեթը թողնել երթուղիչում առանց այլ նպատակակետի։

Տվեք երկու թեկնածուներին նույն հինգ հարցերը

Կարճ աշխատաթերթը հաղթում է ֆունկցիաների մատրիցային, որովհետև յուրաքանչյուր հարց համապատասխանում է գծագրի մեկ գծի։ Հարցրեք յուրաքանչյուր թեկնածուի՝

• Ի՞նչ IKE տարբերակներ, ինչ գործընկերոջ նույնականացման մեթոդներ և երթուղավորման մոդելներ իրականում աջակցում է այս թողարկումը։
• Որտե՞ղ է թույլատրվում ESP, և որտե՞ղ է վերծանված հոսքը թույլատրվում կամ արգելվում։
• Ինչպե՞ս են տեղական հոսթերը սովորում հեռավոր նախածանցները, և ինչպե՞ս է մյուս կողմը սովորում ձերերը։
• Ի՞նչ թողունակություն, քանի՞ սեսիա և ի՞նչ ձախողման փոխարկման վարք պետք է դիմանա վերջնակետը իրական ծանրաբեռնվածությանը։
• Ո՞վ է պատասխանատու գործընկերոջ հավատարմագրերի, քաղաքականության և վերականգնման ուղու համար, երբ թունելն է կոտրվածը։

pfSense-ը նկարագրում է քաղաքականության և երթուղիների վրա հիմնված IPsec-ը որպես առանձին մոդելներ՝ առանձին սահմանափակումներով, և այդ տարբերությունն ավելի կարևոր է, քան տուփի պիտակը։ Ստուգեք ճշգրիտ ռեժիմը և վերծանված թրաֆիկի աջակցվող զտումը այն թողարկումում, որը իսկապես կտեղակայեիք։

Եթե թեկնածուն չի կարող պատասխանել երկրորդ հարցին կանոնով, որը կարող եք կարդալ, դա այն սահմանը չէ, որ ուզում եք, որքան էլ լավ անի մնացածը։ Պահանջեք կանոնի տեքստը՝ «այո»-ի փոխարեն, և անորոշ պատասխանը համարեք «ոչ»։

Ստուգեք ուղին որսով, ոչ թե գծագրով

Գծագիրը նկարագրում է մտադրությունը, իսկ որսը՝ վարքը, ուստի հաստատեք, թե որ ինտերֆեյսն է կրում ESP, և որը՝ ներքին հոսքը, նախքան դրանցից որևէ մեկին վստահելը։

tcpdump -ni wan0 esp
tcpdump -ni lan0 host 10.60.4.20
ip xfrm policy list

Եթե առաջին որսը ցույց է տալիս եկող ESP, իսկ երկրորդը՝ ներքին փաթեթը LAN կողմում, վերծանման կետը այնտեղ է, որտեղ դուք մտածում եք։ Եթե ներքին փաթեթը հայտնվում է հրային պատը շրջանցող սեգմենտում, երթուղավորումը սխալ է, ինչ էլ ասի քաղաքականության տեքստը։ xfrm ցանկը հետո ցույց է տալիս, թե որ ընտրիչներն են տեղադրված և որ ուղղությամբ։

Կրկնեք որսը վերադարձի ուղու վրա, որովհետև ասիմետրիկ երթուղավորումը սովորական է, երբ կայքն ունի երկու հնարավոր ելք։ Թունելը, որն աշխատում է մի ուղղությամբ և ժամանակավարտվում մյուսում, գրեթե միշտ սա է, և մյուս կողմի քաղաքականության ոչ մի խմբագրում դա չի ուղղի։