Сайтыңыздың VPN-і қай жерде аяқталатыны ненің тексерілетінін белгілейді

Сайттар арасындағы туннель бүкіл тексеру жобасын анықтайтын бір бөлшекті жасырады: ішкі пакеттің ашық мәтінде пайда болатын нақты құрылғысын. Осы нүктеге дейінгінің бәрі ESP көреді, ал одан кейінгінің бәрі ереже ұстай алатын қарапайым IP көреді. Шекараны дұрыс емес жерге қойсаңыз, ақша төлеген желіаралық қалқаныңыз лицензиясы бар маршрутизаторға айналады. Төмендегі шолу алдымен сызықты сызады, содан кейін ғана оған қай құрылғы ие болуы керегін сұрайды.

Сызықты пакет енді шифрланбайтын жерге сызыңыз

Туннель режимінде бастапқы пакет шифрланып, серіктес шлюзге адрестелген жаңа сыртқы IP тақырыбына оралады. Бұл сыртқы пакет ESP үшін 50 протоколын тасымалдайды, сондықтан екі шлюз арасындағы кез келген құрылғы ішкі адрестерді оқымай-ақ оны маршруттай алады. Шифрды шешетін бірінші құрылғы қауіпсіздік шекарасы болып табылады және ол ішкі ағынға саясат қолдана алатын бірінші құрылғы да. Осы нүктеден төменгінің бәрі қарапайым маршруттау.

Суретте үш нәрсені белгілеңіз: ESP-ні қабылдайтын сыртқы соңғы нүктені, саясатта аталған қорғалған желілерді, және шифры шешілген пакет жасайтын келесі секірісті. Осы үшеуі бір құрылғыда болмаса, жалғыз бақылау нүктесі емес, жобалау қажет өткізу бар.

RFC 4301 шифрды шешетін құрылғыны қауіпсіздік шлюзі деп атайды және оның саясатын шекараның бөлігі ретінде қарастырады. Бұл өнім санатынан гөрі пайдалырақ негіз, өйткені құрылғы саясатты ұстағанда шекара болады, деректер парағында желіаралық қалқан деп жазылғанда емес.

Желіаралық қалқан соңғы нүкте ретінде: бір құрылғы, бір саясат нүктесі

Желіаралық қалқан туннельді аяқтағанда, жоғарыдағы маршрутизатор оған тек ESP жеткізуі керек. Қалқан серіктестің түпнұсқалығын тексереді, шифрды шешеді, содан кейін сервер VLAN-на барар жолда ішкі пакетке әдеттегі ережелерін қолданады. Осылайша саясатты оқитын бір орын және журналдарды оқитын бір орын пайда болады, аудит әдетте соны талап етеді.

Екі рұқсатты бөлек тексеріңіз. Құрылғыға IKE және ESP рұқсат ету — қашықтағы сайтқа серверге жетуге рұқсат етумен бірдей ереже емес, ал туннельді қабылдап, ішкі ағынды блоктайтын қалқан қарсы жақтан дәл бұзылған туннельге ұқсайды.

Бағасы — қалқан енді бүкіл сайт трафигінің жолында тұрады, сондықтан оның өткізу қабілеті, сессия шектеулері және ақаулыққа ауысу тәртібі туннельдің өз тәртібіне айналады. Оны біріктірілген сайт ағындарына қарай өлшеңіз, мүмкін сатып алынған қашықтан қатынау профиліне қарай емес.

Маршрутизатор соңғы нүкте ретінде: тексеру секірісі міндетті емес болады

Маршрутизатор шифрды шешкенде, пакет маршруттау кестесіне жеткенде әлдеқашан ашық. Егер бөлек желіаралық қалқан бұл трафикті тексеруі керек болса, маршрутизатор оны қалқан арқылы жіберуі керек және қайту жолы дәл солай қайтуы тиіс. Маршрутизатордан сервер VLAN-на тікелей маршрут қалқанды жолдан үнсіз алып тастайды, бірақ суретте қалдырады.

Міне, бар желіде іздеу керек ақау: бір префикске екі маршрут, біреуі қалқан арқылы, екіншісі тікелей, ал тікелейі префикс ұзындығы немесе метрика бойынша жеңеді. Туннель әлі де трафик өткізеді, ал сіз сенетін тексеру болмайды.

Маршрутқа негізделген туннельдер мұны көрнекі етеді, өйткені туннель — басқа құрылғы арқылы маршруттауға болатын интерфейс. Саясатқа негізделген туннельдер трафикті селектор бойынша таңдайды, бұл шифры шешілген пакетті маршрутизаторда басқа барар жерсіз қалдыруы мүмкін.

Екі үміткерге де бірдей бес сұрақ қойыңыз

Қысқа жұмыс парағы функциялар матрицасынан артық, өйткені әр сұрақ суреттегі бір сызыққа сәйкес келеді. Әр үміткерден сұраңыз:

• Қандай IKE нұсқаларын, қандай серіктес аутентификация әдістерін және маршруттау модельдерін бұл шығарылым шынымен қолдайды?
• ESP қай жерде қабылданады және шифры шешілген ағын қай жерде рұқсат етіледі немесе тыйым салынады?
• Жергілікті хосттар қашықтағы префикстерді қалай үйренеді, ал қарсы жақ сіздікін қалай үйренеді?
• Соңғы нүкте нақты жүктеме үшін қандай өткізу қабілетін, сессия санын және ақаулыққа ауысу тәртібін көтеруі керек?
• Бұзылған нәрсе туннель болғанда серіктестің тіркелгі деректеріне, саясатқа және қалпына келтіру жолына кім жауапты?

pfSense саясатқа негізделген және маршрутқа негізделген IPsec-ті бөлек шектеулері бар бөлек модельдер ретінде құжаттайды және бұл айырмашылық қораптағы жапсырмадан маңыздырақ. Нақты орналастыратын шығарылымда нақты режимді және шифры шешілген трафиктің қолдау көрсетілетін сүзгілеуін тексеріңіз.

Егер үміткер екінші сұраққа оқи алатын ережемен жауап бере алмаса, қалғанын қаншалықты жақсы жасаса да, бұл сіз қалаған шекара емес. Иә орнына ереже мәтінін сұраңыз және бұлыңғыр жауапты жоқ деп қабылдаңыз.

Жолды суретпен емес, түсіріліммен тексеріңіз

Сурет ниетті, түсірілім тәртіпті сипаттайды, сондықтан екеуінің біріне сенбес бұрын қай интерфейс ESP, қайсысы ішкі ағынды тасымалдайтынын растаңыз.

tcpdump -ni wan0 esp
tcpdump -ni lan0 host 10.60.4.20
ip xfrm policy list

Бірінші түсірілім ESP келе жатқанын, екіншісі ішкі пакеттің LAN жағында екенін көрсетсе, шифрды шешу нүктесі ойлаған жеріңізде. Ішкі пакет қалқанды айналып өтетін сегментте пайда болса, саясат мәтіні не десе де маршруттау дұрыс емес. xfrm тізімі содан кейін қандай селекторлар орнатылғанын және қай бағытта екенін көрсетеді.

Түсірілімді қайту жолында қайталаңыз, өйткені сайттың екі мүмкін шығуы болғанда асимметриялық маршруттау жиі кездеседі. Бір бағытта жұмыс істеп, екіншісінде уақыт үзілісіне түсетін туннель әдетте дәл осы, және қарсы жақтағы ешқандай саясат түзетуі оны жөндей алмайды.