Сайтыңыздын VPN кайда аяктай турганы эмнени текшерүүнү аныктайт

Сайттар ортосундагы туннель бүткүл текшерүү долбоорун аныктаган бир деталды жашырат: ички пакет ачык текстте пайда болгон так түзүлүштү. Ошол чекитке чейинкинин баары ESP көрөт, ал эми андан кийинкинин баары эреже кармай алган кадимки IP көрөт. Чекти туура эмес жерге койсоңуз, акча төлөгөн тармак аралык калканыңыз лицензиясы бар маршрутизаторго айланат. Төмөнкү баяндоо адегенде сызыкты сызат, анан гана ага кайсы түзүлүш ээ болушу керектигин сурайт.

Сызыкты пакет мындан ары шифрленбеген жерге сызыңыз

Туннель режиминде баштапкы пакет шифрленип, өнөктөш шлюзге адресделген жаңы тышкы IP аталышына оролот. Бул тышкы пакет ESP үчүн 50 протоколун алып жүрөт, ошондуктан эки шлюздун ортосундагы ар кандай түзүлүш ички даректерди окубай эле аны маршруттай алат. Шифрди чечкен биринчи түзүлүш коопсуздук чеги болуп саналат жана ал ички агымга саясат колдоно алган биринчи түзүлүш да. Ошол чекиттен ылдыйкынын баары кадимки маршруттоо.

Сүрөттө үч нерсени белгилеңиз: ESPни кабыл алган тышкы акыркы чекитти, саясатта аталган корголгон тармактарды, жана шифри чечилген пакет жасаган кийинки секирик. Бул үчөө бир түзүлүштө болбосо, жалгыз көзөмөл чекити эмес, долбоорлоо керек болгон өткөрүү бар.

RFC 4301 шифрди чечкен түзүлүштү коопсуздук шлюзу деп атайт жана анын саясатын чектин бөлүгү катары карайт. Бул продукт категориясынан пайдалуураак негиз, анткени түзүлүш саясатты кармаганда чек болот, маалымат баракчасында тармак аралык калкан деп жазылганда эмес.

Тармак аралык калкан акыркы чекит катары: бир түзүлүш, бир саясат чекити

Тармак аралык калкан туннелди бүткөндө, жогорудагы маршрутизатор ага эле ESP жеткирүүсү керек. Калкан өнөктөштүн аныктыгын текшерет, шифрди чечет, анан сервер VLANына барар жолдо ички пакетке кадимки эрежелерин колдонот. Ошентип саясатты окуу үчүн бир жер жана журналдарды окуу үчүн бир жер пайда болот, аудит адатта ушуну талап кылат.

Эки уруксатты өзүнчө текшериңиз. Түзүлүшкө IKE жана ESP уруксат берүү — алыскы сайтка серверге жетүүгө уруксат берүү менен бирдей эреже эмес, ал эми туннелди кабыл алып, ички агымды бөгөттөгөн калкан каршы тараптан дал бузулган туннелге окшош көрүнөт.

Баасы — калкан эми бүткүл сайт трафигинин жолунда турат, ошондуктан анын өткөрүү жөндөмү, сессия чектөөлөрү жана каталыкка өтүү жүрүм-туруму туннелдин өзүнүн жүрүм-турумуна айланат. Аны бириктирилген сайт агымдарына жараша өлчөңүз, балким сатып алынган алыскы кирүү профилине жараша эмес.

Маршрутизатор акыркы чекит катары: текшерүү секириги милдеттүү эмес болот

Маршрутизатор шифрди чечкенде, пакет маршруттоо таблицасына жеткенде эле ачык. Эгер өзүнчө тармак аралык калкан бул трафикти текшерүүсү керек болсо, маршрутизатор аны калкан аркылуу жиберүүсү керек жана кайтуу жолу дал ошондой кайтышы тийиш. Маршрутизатордон сервер VLANына түз маршрут калканды жолдон үнсүз алып салат, бирок сүрөттө калтырат.

Бул бар тармакта издеш керек болгон бузукулук: бир префикске эки маршрут, бири калкан аркылуу, экинчиси түз, ал эми түзү префикс узундугу же метрика боюнча жеңет. Туннель дагы эле трафик өткөрөт, ал эми сиз ишенген текшерүү болбойт.

Маршрутка негизделген туннелдер муну көрүнүктүү кылат, анткени туннель — башка түзүлүш аркылуу маршруттоого боло турган интерфейс. Саясатка негизделген туннелдер трафикти селектор боюнча тандайт, бул шифри чечилген пакетти маршрутизатордо башка барар жери жок калтырышы мүмкүн.

Эки талапкерге тең бирдей беш суроо бериңиз

Кыска жумуш баракчасы функциялар матрицасынан артык, анткени ар бир суроо сүрөттөгү бир сызыкка туура келет. Ар бир талапкерден сураңыз:

• Кайсы IKE версияларын, кайсы өнөктөш аутентификация ыкмаларын жана маршруттоо моделдерин бул чыгарылыш чынында колдойт?
• ESP кайда кабыл алынат жана шифри чечилген агым кайда уруксат берилет же тыюу салынат?
• Жергиликтүү хосттор алыскы префикстерди кантип үйрөнөт, ал эми каршы тарап сиздикилерди кантип үйрөнөт?
• Акыркы чекит реалдуу жүктөө үчүн кандай өткөрүү жөндөмүн, сессия санын жана каталыкка өтүү жүрүм-турумун көтөрүшү керек?
• Бузулган нерсе туннель болгондо өнөктөштүн эсептик маалыматтарына, саясатка жана калыбына келтирүү жолуна ким жооп берет?

pfSense саясатка негизделген жана маршрутка негизделген IPsecти өзүнчө чектөөлөрү бар өзүнчө моделдер катары документтештирет жана бул айырма кутучадагы жапсырмадан маанилүүрөөк. Чынында орното турган чыгарылышта так режимди жана шифри чечилген трафиктин колдоого алынган фильтрлөөсүн текшериңиз.

Эгер талапкер экинчи суроого окуй алган эреже менен жооп бере албаса, калганын канчалык жакшы жасаса да, бул сиз каалаган чек эмес. Ообанын ордуна эреженин текстин сураңыз жана бүдөмүк жоопту жок деп кабыл алыңыз.

Жолду сүрөт менен эмес, тартуу менен текшериңиз

Сүрөт ниетти, тартуу жүрүм-турумду сүрөттөйт, ошондуктан экөөнүн бирине ишенбестен мурун кайсы интерфейс ESP, кайсынысы ички агымды алып жүрөрүн ырастаңыз.

tcpdump -ni wan0 esp
tcpdump -ni lan0 host 10.60.4.20
ip xfrm policy list

Биринчи тартуу ESP келе жатканын, экинчиси ички пакеттин LAN тарабында экенин көрсөтсө, шифрди чечүү чекити ойлогон жериңизде. Ички пакет калканды айланып өткөн сегментте пайда болсо, саясат тексти эмне дебесин, маршруттоо туура эмес. xfrm тизмеси андан кийин кайсы селекторлор орнотулганын жана кайсы багытта экенин көрсөтөт.

Тартууну кайтуу жолунда кайталаңыз, анткени сайттын эки мүмкүн болгон чыгуусу болгондо асимметриялык маршруттоо көп кездешет. Бир багытта иштеп, экинчисинде убакыт бүтүүгө түшкөн туннель дээрлик дайыма ушундай, жана каршы тараптагы эч кандай саясат түзөтүүсү аны оңдой албайт.