IPsec эки хосттун ортосунда: коргоо кайдан башталып, кайда бүтөт
Хосттор жуп болуп тандалган агымдарды шлюзсуз коргой алат. Акыркы чекиттерди, трафикти тандаган саясатты жана өзүнчө калган уруксаттарды аныктаңыз.
Хосттор жубу боюнча коргоо коопсуздук ассоциациясы бүткөн жерден башталат, жана шлюз формасындагы интуиция эң көп өткөрүп жиберген дал ушул факт. Колдонмо сервери жана анын маалымат базасынын сервери өз сүйлөшүүлөрүн түз коргой алат, жолдо эч кандай алыскы кирүү концентратору болбосо да, жана коргоо чек арасы ошондо коопсуздук дубалында эмес, ар бир хосттун ичинде жайгашат. Бул сизге тандалган агымдар үчүн учтан учка камтуу берет. Бул сизге ким кайсы сапты окуй алары тууралуу чечим бербейт.
Чек ара SA бүткөн жерде
RFC 4301 транспорт режиминдеги коопсуздук ассоциацияларын хосттор жубунун ортосунда учтан учка коргоо үчүн адатта колдонулуучу жайгашуу катары сүрөттөйт. Бул эки хост ачкычтарды кармайт жана ар бири өз пакеттеринин кайсынысы ассоциацияга кирерин чечет. Шлюз туннели таптакыр башка жерде бүтөт жана хостко кошумча ички сегмент аркылуу жетет, бул пакет сапардын көп бөлүгүндө шифрленген болсо да башка ишеним чек арасы болуп саналат.
Хосттон хостко жана транспорт режими синоним эмес. Эки хост өз ара туннель режиминдеги ассоциацияны ушундай эле туура кура алат, ошондуктан адегенде режимди тандап, анан акыркы чекиттерди сүрөттөңүз. Экөөнү тең долбоор жазуусуна өнөктөштөрдүн даректеринин жанына жазыңыз, анткени режимди гана билген рецензент экинчисин болжолдойт.
SPD коргоону, маршрут багытты чечет
Маршруттоо таблицасы пакеттин кайда барарын жооп берет. Коопсуздук саясатынын маалымат базасы тандалган трафиктин коргоо чек арасынан кантип өтөрүн жооп берет жана муну ар бир багыт үчүн өз тандагычтары менен жасайт. Ошол бөлүү маалымат базасына барган иштеген маршрут суроо корголгонбу дегенге эч нерсе далилдебей турганынын себеби жана түзүлгөн сүйлөшүү эч нерсе далилдебей турганынын себеби, бул конкреттүү колдонмо ага ылайык келдиби дегенде да ошондой. Эсептегичтерди салыштырганга чейин тандагычтарды салыштырыңыз, анткени эсептегичтер ушунчалык жеткен агымдарды гана сүрөттөйт.
Linuxта ip xfrm policy бул жазууларды багыты, артыкчылыгы, тандагычы жана уруксат берүү, блоктоо же кармоо аракети менен басып чыгарат, ал эми ip xfrm state пайда болгон ассоциацияларды жана алардын эсептегичтерин көрсөтөт. Экөөнү чогуу окуу кененирээк уруксат жазуусу биринчи ылайык келгендиктен туннелди унчукпай айланып өткөн агымды табуунун жолу.
Артыкчылык тартиби саясаттын бөлүгү, ишке ашыруу бөлчөгү эмес. Маалымат базасынын портун коргошу керек тар жазуу жогору артыкчылыктагы кененирээк жазууга жеңилет жана бузулуу саясатка эч качан кайрылбагандай көрүнөт.
Транспорт режими IP аталышын эмес, кийинки катмарды камтыйт
| Transport mode | Tunnel mode | |
|---|---|---|
| Original IP header | kept for routing the flow | replaced by an outer header |
| What ESP protects | the carried next-layer payload | the whole inner IP packet |
| Where it terminates | commonly the two hosts | gateway pair, or a host pair |
Транспорт режиминде ESP аталышы IP аталышы менен пайдалуу жүктүн ортосунда турат жана ошол аталыштын дарек талаалары жолдогу ар бир түзмөккө көрүнүп турат. Даректер сыр эмес жана жүк сыр болсо, бул жакшы. Ички топологияны да жашыруу керек болсо, бул туура эмес тандоо, анткени баштапкы аталышты тек туннель режими жаңысынын ичине ороп коёт.
Эки режим тең кийинки катмардын бир нече протоколун алып жүрө алат жана ESP хост жибергендин баарын эмес, тандагычка ылайык келгенин коргойт.
Тандоо байланыштан тар
Бир ассоциация бир нече агымды алып жүрө алат, бирок саясат тандагандарын гана. Өнөктөштөрдүн идентификаторлорун, булак жана багыт даректерин, протоколду жана пландалган мамиленин тейлөө көлөмүн жазып коюңуз, анан ылайык келбеген трафик ачык өтө алабы, корголушу керекпи же ассоциация жеткиликсиз болгондо ташталышы керекпи — муну өзүнчө чечиңиз. Дал акыркы чечим таң калтырат, анткени туура эмес булак үчүн коргоону талап кылган эреже сиздин башкаруу кирүүңүздү баскынчыны бөгөттөгөндөй натыйжалуу бөгөттөй алат.
Аткарууну өзгөртүп жатканда бекитилген тилке сыртындагы жолду кармаңыз жана эки хост тең жеткиликсиз болгондон кийин эмес, ага муктаж болоор алдында сынап көрүңүз.
Машинанын идентификатору колдонмонун уруксаты эмес
IPsec конфигурацияланган өнөктөштү аутентификациялайт жана тандалган пакеттерди коргойт. Ал адамдын кайсы маалымат базасындагы жазууну редакциялай аларын чечпейт жана ишенимдүү сервердин идентификаторун бардык колдонмо артыкчылыктарын берүүгө айландырбайт. Колдонмо эсептери, ролдору жана авторизация дал өз ордунда калат жана колдонмо деңгээлиндеги TLS талабы тармак жолу мурунтан корголгон болсо да өз максатын сактайт.
Долбоорду көздөлгөн булактан бир операция жана четке кагылышы керек болгон бир операция менен кабыл алыңыз жана талап кылынган ассоциация түзүлбөй калганда эмне болорун да кошуңуз. Кадимки жеткиликтүүлүк тести сизге пакеттер кыймылдаарын айтат; алар сиз жазган саясаттын астында кыймылдаганын айтпайт.