Di mana VPN situs Anda berakhir menentukan apa yang diperiksa

Tunnel antar-situs menyembunyikan satu detail yang menentukan seluruh rancangan pemeriksaan: perangkat tepat tempat paket dalam terlihat sebagai teks biasa. Semua yang sebelum titik itu melihat ESP, dan semua yang sesudahnya melihat IP biasa yang bisa ditangkap aturan. Letakkan batas di tempat yang salah dan firewall yang Anda bayar menjadi router berlisensi. Uraian di bawah menggambar garisnya lebih dulu dan baru kemudian menanyakan perangkat mana yang seharusnya memilikinya.

Gambar garis di tempat paket berhenti dienkripsi

Dalam mode tunnel, paket asli dienkripsi dan dibungkus dalam header IP luar baru yang dialamatkan ke gateway mitra. Paket luar itu membawa protokol 50 untuk ESP, sehingga perangkat mana pun di antara kedua gateway dapat merutekannya tanpa membaca alamat dalam. Perangkat pertama yang mendekripsi adalah batas keamanan, dan juga perangkat pertama yang dapat menerapkan kebijakan pada aliran dalam. Semua yang di hilir titik itu adalah perutean biasa.

Tandai tiga hal pada gambar: titik akhir luar yang menerima ESP, jaringan terlindungi yang disebut dalam kebijakan, dan hop berikutnya yang diambil paket terdekripsi. Jika ketiganya tidak berada pada perangkat yang sama, Anda memiliki serah-terima yang harus dirancang, bukan satu titik kendali.

RFC 4301 menyebut perangkat yang mendekripsi sebagai gateway keamanan dan memperlakukan kebijakannya sebagai bagian dari batas. Ini kerangka yang lebih berguna daripada kategori produk, karena perangkat adalah batas ketika memegang kebijakan, bukan ketika lembar datanya menyebut firewall.

Firewall sebagai titik akhir: satu perangkat, satu titik kebijakan

Ketika firewall mengakhiri tunnel, router di atasnya hanya perlu mengantarkan ESP kepadanya. Firewall mengautentikasi mitra, mendekripsi, lalu menerapkan aturan biasanya pada paket dalam dalam perjalanan ke VLAN server. Ini memberi satu tempat untuk membaca kebijakan dan satu tempat untuk membaca log, yang biasanya diminta audit.

Periksa dua izin itu secara terpisah. Mengizinkan IKE dan ESP ke perangkat bukan aturan yang sama dengan mengizinkan situs jauh mencapai server, dan firewall yang menerima tunnel tetapi memblokir aliran dalam tampak persis seperti tunnel rusak dari ujung jauh.

Biayanya adalah firewall kini berada di jalur seluruh lalu lintas situs, sehingga throughput, batas sesi, dan perilaku failovernya menjadi perilaku tunnel itu sendiri. Ukur untuk aliran situs gabungan, bukan untuk profil akses jarak jauh yang mungkin menjadi alasan pembeliannya.

Router sebagai titik akhir: hop pemeriksaan menjadi opsional

Ketika router mendekripsi, paket sudah terang saat mencapai tabel perutean. Jika firewall terpisah harus memeriksa lalu lintas itu, router harus mengirimkannya melalui firewall dan jalur kembali harus kembali dengan cara yang sama. Rute langsung dari router ke VLAN server diam-diam mengeluarkan firewall dari jalur sambil membiarkannya di diagram.

Inilah kegagalan yang harus dicari di jaringan yang sudah ada: dua rute ke prefiks yang sama, satu melalui firewall dan satu langsung, dengan yang langsung menang pada panjang prefiks atau metrik. Tunnel tetap meneruskan lalu lintas dan pemeriksaan yang Anda yakini tidak terjadi.

Tunnel berbasis rute membuat ini terlihat, karena tunnel adalah antarmuka yang dapat dirutekan melalui perangkat lain. Tunnel berbasis kebijakan memilih lalu lintas dengan selektor, yang dapat meninggalkan paket terdekripsi di router tanpa tujuan lain.

Ajukan lima pertanyaan yang sama kepada kedua kandidat

Lembar kerja singkat mengalahkan matriks fitur, karena setiap pertanyaan memetakan ke satu garis pada gambar. Tanyakan kepada setiap kandidat:

• Versi IKE mana, metode autentikasi mitra dan model perutean mana yang benar-benar didukung rilis ini?
• Di mana ESP diterima, dan di mana aliran terdekripsi diizinkan atau ditolak?
• Bagaimana host lokal mempelajari prefiks jauh, dan bagaimana sisi jauh mempelajari prefiks Anda?
• Throughput, jumlah sesi, dan perilaku failover seperti apa yang harus ditanggung titik akhir untuk beban kerja nyata?
• Siapa yang memiliki kredensial mitra, kebijakan, dan jalur pemulihan ketika tunnel adalah hal yang rusak?

pfSense mendokumentasikan IPsec berbasis kebijakan dan berbasis rute sebagai model terpisah dengan batasan terpisah, dan perbedaan itu lebih penting daripada label pada kotak. Periksa mode persisnya dan penyaringan lalu lintas terdekripsi yang didukung pada rilis yang benar-benar akan Anda terapkan.

Jika kandidat tidak dapat menjawab pertanyaan kedua dengan aturan yang dapat Anda baca, itu bukan batas yang Anda inginkan, sebaik apa pun ia melakukan hal lain. Mintalah teks aturannya alih-alih jawaban ya, dan anggap jawaban kabur sebagai tidak.

Verifikasi jalurnya dengan tangkapan, bukan dengan diagram

Diagram menjelaskan niat dan tangkapan menjelaskan perilaku, jadi pastikan antarmuka mana yang membawa ESP dan mana yang membawa aliran dalam sebelum memercayai salah satunya.

tcpdump -ni wan0 esp
tcpdump -ni lan0 host 10.60.4.20
ip xfrm policy list

Jika tangkapan pertama menunjukkan ESP datang dan yang kedua menunjukkan paket dalam di sisi LAN, titik dekripsi ada di tempat yang Anda duga. Jika paket dalam muncul pada segmen yang melewati firewall, perutean salah, apa pun kata teks kebijakan. Daftar xfrm kemudian menunjukkan selektor mana yang terpasang dan ke arah mana.

Ulangi tangkapan pada jalur kembali, karena perutean asimetris lazim ketika satu situs memiliki dua kemungkinan keluar. Tunnel yang bekerja di satu arah dan kehabisan waktu di arah lain hampir selalu ini, dan tidak ada penyuntingan kebijakan di sisi jauh yang memperbaikinya.