სად მთავრდება თქვენი საიტის VPN, განსაზღვრავს რა მოწმდება

საიტებს შორის გვირაბი მალავს დეტალს, რომელიც განსაზღვრავს მთელ შემოწმების დიზაინს: ზუსტ მოწყობილობას, რომელზეც შიდა პაკეტი ღია ტექსტით ჩნდება. ყველაფერი ამ წერტილამდე ESP-ს ხედავს, ხოლო ყველაფერი მის შემდეგ ჩვეულებრივ IP-ს, რომელსაც წესი დაიჭერს. საზღვარი არასწორ ადგილას დადეთ და სახანძრო კედელი, რომლისთვისაც გადაიხადეთ, ლიცენზირებულ როუტერად იქცევა. ქვემოთ მოცემული გზამკვლევი ჯერ ხაზს ხაზავს და მხოლოდ შემდეგ კითხულობს, რომელ მოწყობილობას უნდა ჰქონდეს ის.

დახაზეთ ხაზი იქ, სადაც პაკეტი წყვეტს დაშიფვრას

გვირაბის რეჟიმში საწყისი პაკეტი იშიფრება და იხვევა ახალ გარე IP სათაურში, რომელიც პარტნიორ კარიბჭეზეა მისამართებული. ეს გარე პაკეტი ESP-სთვის 50 პროტოკოლს ატარებს, ამიტომ ორ კარიბჭეს შორის ნებისმიერ მოწყობილობას შეუძლია მისი მარშრუტიზაცია შიდა მისამართების წაკითხვის გარეშე. პირველი მოწყობილობა, რომელიც გაშიფრავს, უსაფრთხოების საზღვარია და ის პირველი მოწყობილობაცაა, რომელსაც შიდა ნაკადზე პოლიტიკის გამოყენება შეუძლია. ყველაფერი ამ წერტილის ქვემოთ ჩვეულებრივი მარშრუტიზაციაა.

ნახაზზე სამი რამ მონიშნეთ: გარე საბოლოო წერტილი, რომელიც ESP-ს უშვებს, პოლიტიკაში დასახელებული დაცული ქსელები, და შემდეგი ნახტომი, რომელსაც გაშიფრული პაკეტი აკეთებს. თუ ეს სამი ერთ მოწყობილობაზე არ არის, საპროექტო გადაცემა გაქვთ და არა ერთი კონტროლის წერტილი.

RFC 4301 გაშიფრავ მოწყობილობას უსაფრთხოების კარიბჭეს უწოდებს და მის პოლიტიკას საზღვრის ნაწილად თვლის. ეს უფრო სასარგებლო ჩარჩოა, ვიდრე პროდუქტის კატეგორია, რადგან მოწყობილობა საზღვარია მაშინ, როცა პოლიტიკას ფლობს, და არა მაშინ, როცა მის მონაცემთა ფურცელში სახანძრო კედელი წერია.

სახანძრო კედელი დამამთავრებლად: ერთი მოწყობილობა, ერთი პოლიტიკის წერტილი

როცა სახანძრო კედელი გვირაბს ამთავრებს, ზემოთა როუტერს მხოლოდ ESP-ის მიწოდება სჭირდება. სახანძრო კედელი ამოწმებს პარტნიორს, გაშიფრავს და შემდეგ სერვერების VLAN-ისკენ მიმავალ გზაზე შიდა პაკეტზე თავის ჩვეულებრივ წესებს იყენებს. ასე ჩნდება ერთი ადგილი პოლიტიკის წასაკითხად და ერთი ადგილი ჟურნალების წასაკითხად, რასაც აუდიტი ჩვეულებრივ ითხოვს.

ორი ნებართვა ცალ-ცალკე შეამოწმეთ. IKE-ისა და ESP-ის მოწყობილობამდე დაშვება არ არის იგივე წესი, რაც შორეული საიტისთვის სერვერამდე მისვლის დაშვება, და სახანძრო კედელი, რომელიც გვირაბს იღებს და შიდა ნაკადს ბლოკავს, მეორე მხრიდან ზუსტად გატეხილ გვირაბს ჰგავს.

ფასი ისაა, რომ სახანძრო კედელი ახლა მთელი საიტის ტრაფიკის გზაზე დგას, ამიტომ მისი გამტარუნარიანობა, სესიების ლიმიტები და გადართვის ქცევა თავად გვირაბის ქცევად იქცევა. ზომები შეარჩიეთ გაერთიანებული საიტის ნაკადებისთვის და არა შორეული წვდომის პროფილისთვის, რომლისთვისაც ის შეიძლება იყო ნაყიდი.

როუტერი დამამთავრებლად: შემოწმების ნახტომი არასავალდებულო ხდება

როცა როუტერი გაშიფრავს, პაკეტი უკვე ღიაა, როცა მარშრუტიზაციის ცხრილს აღწევს. თუ ცალკე სახანძრო კედელმა უნდა შეამოწმოს ეს ტრაფიკი, როუტერმა ის სახანძრო კედელში უნდა გაატაროს და დაბრუნების გზა იმავე გზით უნდა დაბრუნდეს. პირდაპირი მარშრუტი როუტერიდან სერვერების VLAN-ამდე ჩუმად აშორებს სახანძრო კედელს გზიდან და ნახაზზე ტოვებს.

ეს არის ის გაუმართაობა, რომელიც არსებულ ქსელში უნდა მოვძებნოთ: ორი მარშრუტი ერთსა და იმავე პრეფიქსზე, ერთი სახანძრო კედლის გავლით და მეორე პირდაპირ, და პირდაპირი იმარჯვებს პრეფიქსის სიგრძით ან მეტრიკით. გვირაბი კვლავ ატარებს ტრაფიკს და შემოწმება, რომლისიც გჯერათ, არ ხდება.

მარშრუტზე დაფუძნებული გვირაბები ამას თვალსაჩინოს ხდის, რადგან გვირაბი ინტერფეისია, რომლის მეშვეობითაც სხვა მოწყობილობაზე მარშრუტიზაცია შეიძლება. პოლიტიკაზე დაფუძნებული გვირაბები ტრაფიკს სელექტორით ირჩევენ, რაც გაშიფრულ პაკეტს როუტერზე სხვა დანიშნულების ადგილის გარეშე დატოვებს.

ორივე კანდიდატს იგივე ხუთი კითხვა დაუსვით

მოკლე სამუშაო ფურცელი სჯობს ფუნქციების მატრიცას, რადგან თითოეული კითხვა ნახაზის ერთ ხაზს შეესაბამება. ჰკითხეთ თითოეულ კანდიდატს:

• რომელი IKE ვერსიები, რომელი პარტნიორის აუთენტიფიკაციის მეთოდები და მარშრუტიზაციის მოდელები მართლა მხარს უჭერს ამ გამოშვებას?
• სად მიიღება ESP და სად არის გაშიფრული ნაკადი ნებადართული ან აკრძალული?
• როგორ სწავლობენ ლოკალური ჰოსტები შორეულ პრეფიქსებს და როგორ სწავლობს მეორე მხარე თქვენებს?
• რა გამტარუნარიანობა, სესიების რაოდენობა და გადართვის ქცევა უნდა გაუძლოს საბოლოო წერტილმა რეალური დატვირთვისთვის?
• ვინ არის პასუხისმგებელი პარტნიორის სერთიფიკატებზე, პოლიტიკასა და აღდგენის გზაზე, როცა გვირაბია გატეხილი?

pfSense აღწერს პოლიტიკაზე და მარშრუტზე დაფუძნებულ IPsec-ს ცალკე მოდელებად ცალკე შეზღუდვებით და ეს განსხვავება ყუთზე დაწერილ ეტიკეტზე მეტს ნიშნავს. შეამოწმეთ ზუსტი რეჟიმი და გაშიფრული ტრაფიკის მხარდაჭერილი ფილტრაცია იმ გამოშვებაში, რომელსაც ნამდვილად განათავსებდით.

თუ კანდიდატი მეორე კითხვას ვერ უპასუხებს წესით, რომლის წაკითხვაც შეგიძლიათ, ეს არ არის ის საზღვარი, რომელიც გსურთ, რაც უნდა კარგად აკეთოს დანარჩენი. მოითხოვეთ წესის ტექსტი და არა დიახ, და ბუნდოვანი პასუხი არად ჩათვალეთ.

გზა შეამოწმეთ ჩაჭერით და არა ნახაზით

ნახაზი განზრახვას აღწერს, ჩაჭერა კი ქცევას, ამიტომ დაადასტურეთ რომელი ინტერფეისი ატარებს ESP-ს და რომელი შიდა ნაკადს, სანამ რომელიმეს დაუჯერებთ.

tcpdump -ni wan0 esp
tcpdump -ni lan0 host 10.60.4.20
ip xfrm policy list

თუ პირველი ჩაჭერა აჩვენებს მომავალ ESP-ს, ხოლო მეორე შიდა პაკეტს LAN-ის მხარეს, გაშიფვრის წერტილი იქ არის, სადაც ფიქრობთ. თუ შიდა პაკეტი გამოჩნდება სეგმენტზე, რომელიც სახანძრო კედელს გვერდს უვლის, მარშრუტიზაცია არასწორია, რაც უნდა თქვას პოლიტიკის ტექსტმა. xfrm-ის სია შემდეგ აჩვენებს, რომელი სელექტორებია დაყენებული და რომელი მიმართულებით.

გაიმეორეთ ჩაჭერა დაბრუნების გზაზე, რადგან ასიმეტრიული მარშრუტიზაცია ჩვეულებრივია, როცა საიტს ორი შესაძლო გასასვლელი აქვს. გვირაბი, რომელიც ერთი მიმართულებით მუშაობს და მეორეში დროის ამოწურვას იძლევა, თითქმის ყოველთვის ესაა, და მეორე მხარეს პოლიტიკის არც ერთი შესწორება ამას არ გამოასწორებს.