IPsec ორ ჰოსტს შორის: სად იწყება და სად მთავრდება დაცვა
ჰოსტების წყვილს შეუძლია არჩეული ნაკადების დაცვა კარიბჭის გარეშე. განსაზღვრეთ ბოლო წერტილები, ტრაფიკის ამომრჩევი პოლიტიკა და ცალკე დარჩენილი ნებართვები.
დაცვა ჰოსტების წყვილზე იწყება იქ, სადაც უსაფრთხოების ასოციაცია მთავრდება, და სწორედ ეს არის ის ფაქტი, რომელსაც კარიბჭის ფორმის ინტუიცია ყველაზე ხშირად გამოტოვებს. აპლიკაციის სერვერს და მის მონაცემთა ბაზის სერვერს შეუძლიათ საკუთარი საუბრის დაცვა უშუალოდ, გზაზე დისტანციური წვდომის რომელიმე კონცენტრატორის გარეშე, და დაცვის საზღვარი მაშინ თითოეული ჰოსტის შიგნითაა და არა ცეცხლის კედელში. ეს გაძლევთ დაფარვას ერთი ბოლოდან მეორემდე არჩეული ნაკადებისთვის. რასაც ეს არ გაძლევთ, არის გადაწყვეტილება იმაზე, ვის შეუძლია რომელი სტრიქონის წაკითხვა.
საზღვარი იქ არის, სადაც SA მთავრდება
RFC 4301 აღწერს სატრანსპორტო რეჟიმის უსაფრთხოების ასოციაციებს, როგორც ჰოსტების წყვილს შორის ერთი ბოლოდან მეორემდე დაცვისთვის ჩვეულებრივ გამოყენებულ განლაგებას. ეს ორი ჰოსტი ინახავს გასაღებებს და თითოეული წყვეტს, რომელი საკუთარი პაკეტი შევიდეს ასოციაციაში. კარიბჭის გვირაბი სრულიად სხვაგან მთავრდება და ჰოსტს დამატებითი შიდა სეგმენტის მეშვეობით აღწევს, რაც განსხვავებული ნდობის საზღვარია მაშინაც კი, როცა პაკეტი მოგზაურობის უმეტეს ნაწილში დაშიფრულია.
ჰოსტიდან ჰოსტამდე და სატრანსპორტო რეჟიმი კი სინონიმი არ არის. ორ ჰოსტს შეუძლია ერთნაირად სწორად ააგოს გვირაბის რეჟიმის ასოციაცია ერთმანეთს შორის, ამიტომ ჯერ აირჩიეთ რეჟიმი და შემდეგ აღწერეთ ბოლო წერტილები. ჩაწერეთ ორივე დიზაინის ჩანაწერში პარტნიორების მისამართების გვერდით, რადგან მიმომხილველი, რომელმაც მხოლოდ რეჟიმი იცის, მეორეს ივარაუდებს.
SPD წყვეტს დაცვას, მარშრუტი წყვეტს მიმართულებას
მარშრუტიზაციის ცხრილი პასუხობს, სად მიდის პაკეტი. უსაფრთხოების პოლიტიკის მონაცემთა ბაზა პასუხობს, როგორ გადაკვეთს არჩეული ტრაფიკი დაცვის საზღვარს, და ამას აკეთებს თითოეული მიმართულებისთვის საკუთარი ამომრჩევებით. ეს გაყოფა არის მიზეზი იმისა, რომ მონაცემთა ბაზამდე მოქმედი მარშრუტი არაფერს ამტკიცებს იმაზე, იყო თუ არა მოთხოვნა დაცული, და იმისა, რომ დამყარებული მოლაპარაკება არაფერს ამტკიცებს იმაზე, შეესაბამებოდა თუ არა ეს კონკრეტული აპლიკაცია მას. შეადარეთ ამომრჩევები სანამ მრიცხველებს შეადარებთ, რადგან მრიცხველები აღწერენ მხოლოდ იმ ნაკადებს, რომლებმაც აქამდე მოაღწიეს.
Linux-ზე ip xfrm policy ბეჭდავს ამ ჩანაწერებს მათი მიმართულებით, პრიორიტეტით, ამომრჩევით და ნებართვის, დაბლოკვის ან ხაფანგის ქმედებით, ხოლო ip xfrm state აჩვენებს მიღებულ ასოციაციებს და მათ მრიცხველებს. ორივეს ერთად წაკითხვა არის გზა იპოვოთ ის ნაკადი, რომელმაც გვირაბი ჩუმად გვერდი აუარა, რადგან უფრო ფართო ნებართვის ჩანაწერი პირველი დაემთხვა.
პრიორიტეტების რიგი პოლიტიკის ნაწილია და არა იმპლემენტაციის დეტალი. ვიწრო ჩანაწერი, რომელსაც მონაცემთა ბაზის პორტი უნდა დაეცვა, აგებს უფრო მაღალი პრიორიტეტის მქონე ფართო ჩანაწერთან, და ჩავარდნა ისე გამოიყურება, თითქოს პოლიტიკას არასდროს ჰკითხეს.
სატრანსპორტო რეჟიმი ფარავს შემდეგ დონეს და არა IP სათაურს
| Transport mode | Tunnel mode | |
|---|---|---|
| Original IP header | kept for routing the flow | replaced by an outer header |
| What ESP protects | the carried next-layer payload | the whole inner IP packet |
| Where it terminates | commonly the two hosts | gateway pair, or a host pair |
სატრანსპორტო რეჟიმში ESP სათაური IP სათაურსა და დატვირთვას შორის ზის, და ამ სათაურის მისამართის ველები გზაზე ყველა მოწყობილობისთვის ხილული რჩება. ეს კარგია, როცა მისამართები საიდუმლო არ არის და დატვირთვაა. ეს არასწორი არჩევანია, თუ შიდა ტოპოლოგიის დამალვაც გჭირდებათ, რადგან მხოლოდ გვირაბის რეჟიმი ახვევს ორიგინალურ სათაურს ახალში.
ორივე რეჟიმს შეუძლია შემდეგი დონის რამდენიმე პროტოკოლის ტარება, და ESP დაიცავს იმას, რასაც ამომრჩევი შეესაბამება და არა ყველაფერს, რასაც ჰოსტი აგზავნის.
არჩევანი კავშირზე ვიწროა
ერთ ასოციაციას შეუძლია რამდენიმე ნაკადის ტარება, მაგრამ მხოლოდ იმათ, რომლებსაც პოლიტიკა ირჩევს. ჩაწერეთ პარტნიორების იდენტობები, წყაროსა და დანიშნულების მისამართები, პროტოკოლი და მომსახურების არეალი თქვენი განზრახი ურთიერთობისთვის, შემდეგ ცალკე გადაწყვიტეთ, შეიძლება თუ არა შეუსაბამო ტრაფიკი ღიად გავიდეს, უნდა დაცული იყოს თუ უნდა განადგურდეს, როცა ასოციაცია მიუწვდომელია. ეს უკანასკნელი გადაწყვეტილებაა, რომელიც სიურპრიზებს ქმნის, რადგან არასწორი წყაროსთვის დაცვის მოთხოვნა შეიძლება დაბლოკოს საკუთარი მართვის წვდომა ისევე ეფექტურად, როგორც ის ბლოკავს თავდამსხმელს.
შეცვლისას შეინარჩუნეთ დამტკიცებული ზოლის გარეთა გზა და გამოსცადეთ ის სანამ დაგჭირდებათ და არა მას შემდეგ, რაც ორივე ჰოსტი მიუწვდომელი გახდება.
მანქანის იდენტობა აპლიკაციის ნებართვა არ არის
IPsec ამოწმებს კონფიგურირებულ პარტნიორს და იცავს არჩეულ პაკეტებს. ის არ წყვეტს, რომელი მონაცემთა ბაზის ჩანაწერის რედაქტირება შეუძლია ადამიანს, და არ აქცევს სანდო სერვერის იდენტობას ყველა აპლიკაციის უპირატესობის მინიჭებად. აპლიკაციის ანგარიშები, როლები და ავტორიზაცია ზუსტად იქ რჩება, სადაც იყო, და აპლიკაციის დონის TLS მოთხოვნა ინარჩუნებს საკუთარ მიზანს მაშინაც, როცა ქსელის გზა უკვე დაცულია.
მიიღეთ დიზაინი განზრახული წყაროდან ერთი ოპერაციით და უარყოფილ ოპერაციასთან ერთად, და ჩართეთ რა მოხდება, როცა საჭირო ასოციაცია ვერ დამყარდება. ჩვეულებრივი ხელმისაწვდომობის ტესტი გეუბნებათ, რომ პაკეტები მოძრაობენ; ის არ გეუბნებათ, რომ ისინი თქვენ მიერ დაწერილი პოლიტიკის ქვეშ მოძრაობდნენ.