사이트 VPN이 어디서 끝나는지가 무엇을 검사할 수 있는지를 결정한다

사이트 간 터널은 검사 설계 전체를 좌우하는 한 가지 세부를 감춥니다. 내부 패킷이 평문으로 나타나는 바로 그 장비입니다. 그 지점 이전의 모든 것은 ESP를 보고, 이후의 모든 것은 규칙이 매칭할 수 있는 일반 IP를 봅니다. 경계를 잘못된 곳에 두면 값을 치른 방화벽이 라이선스가 달린 라우터가 됩니다. 아래 설명은 먼저 선을 그리고, 그다음 어느 장비가 그 경계를 가져야 하는지 묻습니다.

패킷이 더 이상 암호화되지 않는 지점에 선을 긋습니다

터널 모드에서는 원래 패킷이 암호화되고 상대 게이트웨이로 향하는 새 외부 IP 헤더에 포장됩니다. 그 외부 패킷은 ESP를 위한 프로토콜 50을 실어 나르므로, 두 게이트웨이 사이의 어떤 장비든 내부 주소를 읽지 않고 전달할 수 있습니다. 복호화하는 첫 장비가 보안 경계이며, 내부 흐름에 정책을 적용할 수 있는 첫 장비이기도 합니다. 그 지점 아래의 모든 것은 평범한 라우팅입니다.

그림에 세 가지를 표시합니다. ESP를 받아들이는 외부 종단점,정책에서 이름이 붙은 보호 대상 네트워크, 그리고 복호화된 패킷이 가는 다음 홉입니다. 이 셋이 같은 장비에 없으면 설계해야 할 인계가 있는 것이지 단일 제어점이 아닙니다.

RFC 4301은 복호화하는 장비를 보안 게이트웨이라고 부르고 그 정책을 경계의 일부로 취급합니다. 이것은 제품 범주보다 유용한 틀입니다. 장비가 경계가 되는 것은 정책을 보유할 때이지, 데이터시트에 방화벽이라고 적혀 있을 때가 아닙니다.

방화벽 종단: 장비 하나, 정책 지점 하나

방화벽이 터널을 종단하면 상위 라우터는 ESP를 전달하기만 하면 됩니다. 방화벽은 상대를 인증하고 복호화한 뒤 서버 VLAN으로 가는 내부 패킷에 평소 규칙을 적용합니다. 이렇게 하면 정책을 읽는 곳 하나와 로그를 읽는 곳 하나가 생기며, 감사가 보통 요구하는 것이 바로 이것입니다.

두 허용을 따로 확인하세요. 장비로의 IKE와 ESP 허용은 원격 사이트가 서버에 도달하도록 허용하는 규칙과 같지 않습니다. 터널은 받아들이면서 내부 흐름을 막는 방화벽은 먼 쪽에서 보면 정확히 고장 난 터널처럼 보입니다.

대가는 방화벽이 이제 사이트 전체 트래픽 경로에 놓인다는 것입니다. 그래서 처리량, 세션 한도, 장애 조치 동작이 터널 자체의 동작이 됩니다. 구매 이유였을 수 있는 원격 접속 프로필이 아니라 통합된 사이트 흐름에 맞춰 크기를 정하세요.

라우터 종단: 검사 홉이 선택 사항이 됩니다

라우터가 복호화하면 패킷은 라우팅 테이블에 도달할 때 이미 평문입니다. 별도 방화벽이 그 트래픽을 검사해야 한다면 라우터는 그것을 방화벽을 거쳐 보내야 하고, 되돌아오는 경로도 같은 길로 와야 합니다. 라우터에서 서버 VLAN으로 가는 직접 경로는 그림에는 남겨 두고 방화벽을 조용히 경로에서 빼냅니다.

기존 네트워크에서 찾아야 할 고장이 이것입니다. 같은 프리픽스로 가는 두 경로, 하나는 방화벽을 거치고 하나는 직접이며, 직접 경로가 프리픽스 길이나 메트릭에서 이깁니다. 터널은 여전히 트래픽을 통과시키고, 믿고 있던 검사는 일어나지 않습니다.

경로 기반 터널은 이것을 드러냅니다. 터널은 다른 장비를 거쳐 라우팅할 수 있는 인터페이스이기 때문입니다. 정책 기반 터널은 셀렉터로 트래픽을 고르며, 그 결과 복호화된 패킷이 갈 곳 없이 라우터에 남을 수 있습니다.

두 후보에게 같은 다섯 가지 질문을 합니다

짧은 워크시트가 기능표를 이깁니다. 모든 질문이 그림의 한 줄에 대응하기 때문입니다. 각 후보에게 물으세요.

• 어떤 IKE 버전과,어떤 피어 인증 방식과 라우팅 모델을이 릴리스가 실제로 지원하는가.
• ESP는 어디서 받아들여지고, 복호화된 흐름은 어디서 허용되거나 거부되는가.
• 로컬 호스트는 원격 프리픽스를 어떻게 배우고, 반대편은 당신의 프리픽스를 어떻게 배우는가.
• 실제 부하에 대해 종단점은 어느 정도의 처리량과 세션 수, 어떤 장애 조치 동작을 견뎌야 하는가.
• 터널이 고장 난 것일 때 피어 자격 증명과 정책, 복구 경로의 소유자는 누구인가.

pfSense는 정책 기반과 경로 기반 IPsec을 별도 제약을 가진 별도 모델로 문서화합니다. 이 차이는 상자에 붙은 라벨보다 중요합니다. 실제로 배포할 릴리스에서 정확한 모드와 복호화 트래픽의 지원 필터링을 확인하세요.

후보가 두 번째 질문에 읽을 수 있는 규칙으로 답하지 못한다면, 그것은 원하는 경계가 아닙니다. 다른 모든 것을 아무리 잘해도 마찬가지입니다. 예라는 답 대신 규칙 본문을 요구하고, 모호한 답은 거부로 처리하세요.

경로는 그림이 아니라 캡처로 확인합니다

그림은 의도를 그리고 캡처는 동작을 그립니다. 둘 중 어느 것을 믿기 전에 어느 인터페이스가 ESP를 싣고 어느 것이 내부 흐름을 싣는지 확인하세요.

tcpdump -ni wan0 esp
tcpdump -ni lan0 host 10.60.4.20
ip xfrm policy list

첫 캡처에서 ESP가 도착하고 둘째 캡처에서 내부 패킷이 LAN 쪽에 나타나면 복호화 지점은 생각한 곳입니다. 내부 패킷이 방화벽을 우회하는 세그먼트에 나타난다면 정책 문구가 무엇이라 해도 라우팅이 잘못된 것입니다. xfrm 목록은 어떤 셀렉터가 어느 방향으로 설치되었는지를 보여 줍니다.

돌아오는 경로에서 캡처를 반복하세요. 사이트에 두 개의 출구가 있을 수 있을 때 비대칭 라우팅은 흔합니다. 한 방향으로는 동작하고 다른 방향에서 시간 초과가 나는 터널은 거의 항상 이것이며, 먼 쪽에서 정책을 아무리 고쳐도 해결되지 않습니다.