IPsec екі хост арасында: қорғаныс қайдан басталып, қайда аяқталады
Хосттар жұбы таңдалған ағындарды шлюзсіз қорғай алады. Соңғы нүктелерді, трафикті таңдайтын саясатты және бөлек қалатын рұқсаттарды анықтаңыз.
Хосттар жұбындағы қорғаныс қауіпсіздік ассоциациясы аяқталатын жерден басталады, және шлюз пішінді интуиция ең жиі өткізіп жіберетін дәл осы факт. Қолданба сервері мен оның дерекқор сервері өз әңгімелерін тікелей қорғай алады, жолда ешқандай қашықтан қатынау концентраторы болмаса да, және қорғаныс шекарасы сонда қауіпсіздік қабырғасында емес, әр хосттың ішінде орналасады. Бұл сізге таңдалған ағындар үшін ұшынан ұшына қамту береді. Бұл сізге кім қай жолды оқи алатыны туралы шешім бермейді.
Шекара SA аяқталатын жерде
RFC 4301 көлік режиміндегі қауіпсіздік ассоциацияларын хосттар жұбы арасында ұшынан ұшына қорғау үшін әдетте қолданылатын реттеу ретінде сипаттайды. Бұл екі хост кілттерді ұстайды және әрқайсысы өз пакеттерінің қайсысы ассоциацияға кіретінін шешеді. Шлюз туннелі мүлдем басқа жерде аяқталады және хостқа қосымша ішкі сегмент арқылы жетеді, бұл пакет сапардың көп бөлігінде шифрланған болса да басқа сенім шекарасы болып табылады.
Хосттан хостқа және көлік режимі бір-біріне синоним емес. Екі хост өзара туннель режиміндегі ассоциацияны дәл солай дұрыс құра алады, сондықтан алдымен режимді таңдап, содан кейін соңғы нүктелерді сипаттаңыз. Екеуін де жобалау жазбасына серіктес мекенжайларының қасына жазыңыз, өйткені тек режимді білетін рецензент екіншісін болжайды.
SPD қорғанысты, маршрут бағытты шешеді
Маршруттау кестесі пакеттің қайда баратынын жауаптайды. Қауіпсіздік саясатының дерекқоры таңдалған трафиктің қорғаныс шекарасынан қалай өтетінін жауаптайды және мұны әр бағыт үшін өз таңдаушыларымен жасайды. Осы бөлу дерекқорға баратын жұмыс істейтін маршруттың сұрау қорғалған ба дегенге ештеңе дәлелдемейтінінің себебі және құрылған келіссөздің ештеңе дәлелдемейтінінің себебі, бұл нақты қолданба оған сәйкес келді ме дегенде де солай. Санауыштарды салыстырмас бұрын таңдаушыларды салыстырыңыз, өйткені санауыштар тек соншалықты жеткен ағындарды сипаттайды.
Linux-та ip xfrm policy бұл жазбаларды бағыты, басымдығы, таңдаушысы және рұқсат ету, блоктау немесе ұстау әрекетімен басып шығарады, ал ip xfrm state пайда болған ассоциациялар мен олардың санауыштарын көрсетеді. Екеуін бірге оқу кеңірек рұқсат жазбасы бірінші сәйкес келгендіктен туннельді үнсіз айналып өткен ағынды табудың жолы.
Басымдық реті саясаттың бөлігі, іске асыру бөлшегі емес. Дерекқор портын қорғауы керек тар жазба жоғары басымдықты кеңірек жазбаға жоғалтады және ақау саясатқа ешқашан жүгінбегендей көрінеді.
Көлік режимі IP тақырыбын емес, келесі қабатты қамтиды
| Transport mode | Tunnel mode | |
|---|---|---|
| Original IP header | kept for routing the flow | replaced by an outer header |
| What ESP protects | the carried next-layer payload | the whole inner IP packet |
| Where it terminates | commonly the two hosts | gateway pair, or a host pair |
Көлік режимінде ESP тақырыбы IP тақырыбы мен пайдалы жүктеме арасында орналасады және сол тақырыптың мекенжай өрістері жолдағы әр құрылғыға көрінеді. Мекенжайлар құпия болмаса және жүктеме құпия болса, бұл жақсы. Ішкі топологияны да жасыру қажет болса, бұл дұрыс емес таңдау, өйткені түпнұсқа тақырыпты тек туннель режимі жаңасының ішіне орайды.
Екі режим де келесі қабаттың бірнеше протоколын тасымалдай алады және ESP хост жіберетіннің бәрін емес, таңдаушыға сәйкес келетінін қорғайды.
Таңдау байланыстан тар
Бір ассоциация бірнеше ағынды тасымалдай алады, бірақ тек саясат таңдағандарын. Серіктестердің сәйкестіктерін, көз және межелі мекенжайларын, протоколды және жоспарлаған қатынастың қызмет ауқымын жазып қойыңыз, содан кейін сәйкес келмейтін трафиктің ашық өте алатынын, қорғалуы керектігін немесе ассоциация қолжетімсіз болғанда жойылуы керектігін бөлек шешіңіз. Дәл соңғы шешім таңырқау тудырады, өйткені қате көз үшін қорғаныс талап ететін ереже сіздің басқару қатынауыңызды басқыншыны бөгеткендей тиімді бөгеуі мүмкін.
Орындауды өзгертіп жатқанда бекітілген белдеу сырты жолды ұстаныңыз және екі хост та қолжетімсіз болғаннан кейін емес, қажет болмай тұрып сынап көріңіз.
Машина сәйкестігі қолданба рұқсаты емес
IPsec конфигурацияланған серіктесті аутентификациялайды және таңдалған пакеттерді қорғайды. Ол адамның қай дерекқор жазбасын өңдей алатынын шешпейді және сенімді сервер сәйкестігін барлық қолданба артықшылықтарын беруге айналдырмайды. Қолданба тіркелгілері, рөлдері және авторизация дәл өз орнында қалады және қолданба деңгейіндегі TLS талабы желі жолы әлдеқашан қорғалған болса да өз мақсатын сақтайды.
Жобаны көзделген көзден бір операциямен және қабылдауға тиіс емес бір операциямен қабылдаңыз және қажетті ассоциация құрылмаған жағдайда не болатынын да қосыңыз. Қарапайым қолжетімділік тесті сізге пакеттер қозғалатынын айтады; олар сіз жазған саясат астында қозғалғанын айтпайды.