IPsec ESP: wat et dréit a wéi een beweist, datt et fléisst

ESP dréit den Traffic an engem IPsec-VPN, an d’Runbook doruechter fänkt mat enger Regel un: liest d’Sécherheetsassociatioun, ier Dir eng Politik ännert. Déi meescht onerkläert ESP-Verhalen geet zeréck op e Selekter, dee net gepasst huet, engem Modus, deen ugeholl amplaz gelies gouf, oder engem Zieler, deen kee kontrolléiert huet, wärend en eenzegen Floss geschéckt gouf. Déi dräi Schrëtt hei ënnen leeën fest, wat wat dréit, beweisen, datt en eenzege Floss et benotzt, a loossen eng Réckroll, déi net vum Gediechtnes ofhänkt. All Schrëtt gëtt eng Observatioun, déi et wäert ass opzeschreiwen.

Kennt d’Felder, ier Dir se liest

ESP setzt en Header virun déi geschützt Donnéeën an en Trailer hannendrun. Den Header dréit e Sécherheetsparameterindex, dee bestëmmt, wéi eng Associatioun den Empfänger benotze soll, eng Sequenznumm fir d’Erkennung vun Widderhuelungen, an am Trailer eng Fëllung, déi d’Notzlaascht fir de Chiffre ausgeriicht hält. D’Feld vum nächsten Header am Trailer seet, wat den geschützten Inhalt ass, an esou weess den Empfänger, wat en dekapsuléiert huet.

De Modus ännert, wat bannent dësem Schutz ass. Am Tunnelmode ass de geschützte Material e kompletten bannenzegen IP-Paket, an en neien äusseren Header dréit en tëschent den Endpunkten. Am Transportmode ëmhëllt de Schutz d’Notzlaascht vun der ieweschter Schicht vun engem existéierende Paket, also gëtt et keen zweete Header ze öffnen. Wéi ee Modus benotzt gëtt, ass eng Konfiguratiounsfakt, keen Interpretatiounsfro. Liest en aus dem Zoustandsandrag, amplaz en aus engem Diagramm ofzeleeden.

Keen vun den zwee Modussen verstoppt d’aussen Adresséierung, déi de Paket misst liwweren. Dat ass eng Eegeschaft vum Design an net e Manko, an dofir kann en tëschendleche Beobachter nach ëmmer gesinn, wéi eng zwou Adressen matenee schwätzen, och wann d’Notzlaascht unduerchsiichteg ass.

Schrëtt eent: liest den Zoustand, dann d’Politik

D’Zoustandsandräg halen d’Schlësselen an d’Zieler; d’Politiksandräg halen d’Selekteren, déi entscheeden, wat se benotze däerf. Ënner Linux sinn déi zwee ouni Paketofang ze gesinn, an se an där Reiefolleg ze liese hält déi zwou Froen getrennt.

ip xfrm state
ip xfrm policy

Am Zoustandsausgab musst Dir Quell an Destinatioun vun der Associatioun kontrolléieren, de Modus, an ob d’Kapselung UDP-Porten weist. Déi Porte bedeiten, datt NAT-Traverséierung benotzt gëtt, wat ännert, wat eng tëschendlech Firewall muss erlaaben, awer net wéi eng Selekteren oder Schlësselen op den Endpunkten gëllen.

Liest duerno d’Selekteren an der Politik. E Selekter, deen e méi enken Prefix nennt wéi den Traffic, deen Dir testt, ass de heefegste Grond, firwat en funktionéierenden Tunnel e Floss ignoréiert ze schéngen, an e Selekter fir de falsche Protokoll gëtt déi selwecht Stëllt.

D’Tools vun de Hiersteller drécken déi selwecht Informatioun an enger bequemer Form. ipsec statusall op strongSwan zielt et d’Kandassociatiounen, hir Selekteren an hir Byte-Zieler op, wat dacks méi séier ass wéi roh xfrm-Ausgab ze liesen, wann Dir schonn wësst, wéi eng Kand Dir kucke musst.

Schrëtt zwee: beweise, datt en eenzege Floss d’Zieler beweegt

Zieler si nëmme sënnvoll, wann Dir wësst, wat se hätt solle beweegen, also wielt eng Quell an eng Destinatioun, déi de Selekter sécher deckt, a schéckt eng harmlos Ufro. Liest duerno deeselwechten Andrag nach eng Kéier a vergläicht.

ip -s xfrm state
tcpdump -ni any esp

Zwee Liesunge erzielen ënnerschiddlech Geschichten. Pakete, déi op der Ausgangssäit klammen, awer ni op der Eingangssäit, deiten op e Problem mat der Weiderleitung oder dem Réckwee hin, net op e Schlësselproblem, well de Paket gekapselt gouf an fort ass. Wann keen Zieler sech réckelt, huet den Traffic ni mat der Politik iwwerenee gestëmmt, an de Selekter ass d’Plaz, wou ee kucke muss.

Den Ofgrëff am selwechte Schrëtt bestätegt d’Kapselung op der Leitung, dorënner, ob déi baussenzeg Paketen ESP sinn oder UDP-gekapselt ESP. En weist Iech och d’Adressen, déi de Floss tatsächlech gedroen hunn, an déi ënnerscheede sech heiansdo vun deenen an der Konfiguratioun, déi Dir gelies hutt.

Schrëtt dräi: ännert eng Saach an haalt eng Réckroll

Schreift Quell, Destinatioun, Modus, Selekteren an Zieler vun der Associatioun op, ier Dir eppes ännert. Wann eng Ännerung d’Situatioun verschlechtert, ass et just dës Opzeechnung, déi Iech erlaabt, de virege Zoustand ze restauréieren, amplaz eng funktionéierend Konfiguratioun aus enger Vermutung nei opzebauen. D’Opzeechnung kascht eng Minutt an spuert méi spéit eng Stonn. Et ass och dat eenzegt Artefakt, dat déi Persoun iwwerlieft, déi d’Ännerung gemaach huet.

Ännert een Selekter oder ee Parameter, lued en nei, a widderhëlt Schrëtt zwee op deem selwechte Floss. Eng Associatioun ze läschen zerstéiert all Floss, deen se benotzt, also si geriicht Ännerung an Neielueden vum Kand bal ëmmer besser wéi den Zoustand eidel ze maachen, fir ze gesinn, wat geschitt.

D’Réckroll fir eng Selekterännerung ass d’vireg Politik restauréieren an nei lueden, mat der Viraussetzung, datt de Partner eng entspriechend Ännerung kéint brauchen, wann de Selekter ausgehandelt gëtt an net lokal ass. Schreift déi Ofhängegkeet op, soulaang se frësch ass, well en hallef restauréierte Puer ass schwéierer ze duerchdenken wéi ee vun den zwee Endzoustänn.

Zum Schluss hält de Beräich éierlech. Eng fléissend ESP-Associatioun beweisegt, datt déi zwou Gater de Segment schützen an ausliwweren, an seet näischt doriwwer, ob d’Applikatioun drop hir Benotzer authentifizéiert oder verschlësselt, wat se späichert. Dat sinn getrennt Kontrollen mat getrennte Beweiser, an d’Runbook ass eréischt fäerdeg, wann déi nächst Persoun et aus den Notizen widderhuele kann.