IPsec an IPsec: wéi eng Adressen den äusseren Tunnel droe muss

Verschachtelt IPsec ass méi einfach ze iwwerdenken, wann déi zwou Schichte op verschiddene Maschinnen ophalen. Véier Gateways, zwou Tunnelen an eng eenzeg Fro, déi entscheet, ob den Design funktionéiert: wat gesäit den äusseren Tunnel tatsächlech, wann den inneren mat dem Pak fäerdeg ass? Äntwert drop, an d'Selektoren, d'Routen an d'Reiefolleg vun der Feelerdiagnose kommen automatesch. Maacht et falsch a Dir verbréngt en Dag domat, en Tunnel ze debuggen, deen technesch un ass.

D'Modell mat véier Gateways

Déi äusserlech Gateways A a B bauen den éischten Tunnel tëscht den zwou Plazen. Hannert A sëtzt den inneren Gateway C mat Transitudress 10.60.0.2; hannert B sëtzt den inneren Gateway D mat Transitudress 10.70.0.2. D'Applikatiounsnetzer liewen hannert C an D, an all Adress am Beispill iwwerlappt sech bewosst net.

application net -> C -> A == outer IPsec == B -> D -> application net
                       \---------- inner IPsec ----------/

C transit: 10.60.0.2      D transit: 10.70.0.2
A and B:    underlay addresses only

D'Schichten op véier Hosts verdeelen heescht, datt all Maschinn eng Grenz duerchsetzt. En eenzegen Host, deen déi zwou Schichte lafen, muss zwee Sätz Politiken, zwou Routetabellen an zwee Feelerverhalen op enger Maschinn ënner einen Hutt bréngen, wat méiglech an nach vill méi schwéier ze observéieren ass.

All Schicht hëlt just hire eegene Schutz fort

C verschlësselt en Applikatiounspak fir D. D'Resultat ass vun C op D adresséiert, an dat ass wat A erreecht. Alles wat duerno kënnt hänkt vun där Ëmschreiwung of.

A verschlësselt et nach eng Kéier fir B. B entschlësselt déi äusserlech Schicht, gesäit en Pak vu C op D an iwwerleet et nach ëmmer verschlësselt. D hëlt den inneren Schutz fort an iwwergëtt den Applikatiounspak.

Also gesinn A a B déi innerlech Endpunkten an hir Metadaten, awer si sinn net déi Partien, déi d'Applikatiounsnëtzlaascht entschlësselen. Dat ass eng richteg Eegeschaft vum Design an net d'Behauptung, datt C, D oder d'Applikatiounshosts vertrauenswierdeg sinn.

Déi äusserlech Selektoren nennen déi innerlech Gateways

Hei schloen déi meescht vun dëse Konstruktiounen feehl. Fir en äusseren Tunnel op Basis vu Politiken mussen d'Selektoren, déi Dir verhandelt, déi Adressen enthalen, déi A a B tatsächlech verschaffen: 10.60.0.2/32 an 10.70.0.2/32, an der richteger lokaler an entfernter Reiefolleg.

Déi lescht Applikatiounssubnetzer an déi äusserlech Selektoren ze setzen funktionéiert net, well wann e Pak A erreecht, huet d'innerlech Kapselung schonn ëmgeschriwwen, wat A muss schützen. D'äusserlech Politik géif dann näischt méi treffen, an den Tunnel géif eropkommen, ouni Daten ze droen.

Verengt d'äusserlech Erlaabnes och net op UDP 500. D'innerlech Verbindung huet hiren eegenen Datenwee, deen ESP oder UDP-Kapselung benotzt jee nodeem wat verhandelt gouf, an d'äusserlech Politik muss dee Protokoll erlaben.

Kontrolléiert d'Resultat mat swanctl --list-sas op all Gateway an bestätegt, datt d'Kanner-Sécherheetsassociatiounen déi Adressen uginn, déi Dir virgesinn hutt, net déi, déi Dir ugeholl hutt. Wann d'Lëscht d'Applikatiounssubnetzer weist, gouf d'äusserlech Politik fir déi falsch Schicht geschriwwen. Korrigéiert d'Selektoren, ier Dir d'Routing debuggt, well d'Routing wäert gutt ausgesinn an d'Zieler wäerte sech net beweegen.

Weiderleitung an d'Rekursiounsfal

Selektoren ersetzen d'Routing net. A a B mussen den Trafik tëscht C an D a béid Richtungen weiderleeden, wat aktivéiert IP-Weiderleitung, Routen déi op den Tunnel weisen an en Zréckwee op der anerer Säit bedeit.

Wann den äusseren Tunnel XFRM-Interfacen benotzt, wielen d'Routen den Interface, wärend déi verhandelt Politiken nach ëmmer begrenzen, wat en dréit. En Interface verbreetert net wat geschützt ass; en ännert just, wéi de Kernel de Pak opgräift.

D'Fal ass d'Rekursioun. Dem A seng Route zum äusseren Endpunkt vum B muss dem Underlay follegen, net dem Tunnel deen A opbaut, soss probéiert d'Kapselung an sech selwer ze reesen an d'Verbindung gëtt ni fäerdeg.

Kuckt d'Iwwersetzung un, ier Dir Schichte bäisetzt

Kuckt op all Quell-NAT op A a B, ier Dir eppes anescht ofstëmmt. Eng Regel déi dem C seng Adress ëmschreift, ier d'IPsec-Politik gëllt, kann déi vereinbart Selektoren briechen, an et kann och änneren, wat D op der anerer Säit kritt.

Breet Maskéierung gëtt net sécherer well et zwou Schichten gëtt. Et verstoppt wéi eng Adress de Géigeniwwer gesäit, an dat ass genee déi Informatioun déi Dir braucht, wann den Tunnel un ass an d'Applikatioun net.

Wann eng NAT-Regel wierklech néideg ass, schreift op mat wéi enger Adress all Säit mengt ze schwätzen. Déi eng Zeil léist déi meescht Diskussiounen doriwwer, ob den Tunnel oder d'Iwwersetzung schold ass. Et seet och dem nächsten Ingenieur wou hie kucke soll, wann d'Regel eng Joer méi spéit ewechgeholl gëtt. E Ping wäert näischt dovun maachen.

Beweist fail-closed a kontrolléiert d'MTU

Eng Route déi verschwënnt ass fir sech selwer keng fail-closed-Politik. Eng aner Tabell, eng Standardroute oder eng Politikregel kann hannerhaalen eng Alternativ bidden, an déi eenzeg Manéier et ze wëssen ass den äusseren Tunnel erofzehuelen an ze observéieren wat den Applikatiounstrafik mécht. Maacht dat bewosst, an engem Fenster, amplaz et duerch Zoufall ze entdecken.

Test dräi Zustänn: äusseren Tunnel erof, inneren Tunnel erof an Erhuelung nodeems béid zréckkommen. Benotzt Politikzieler op all Gateway, well zwou etabléiert IKE-Sessiounen just beweisen, datt d'Verhandele vun der Kontrollschicht erfollegräich war.

Budgetéiert béid Kapselungen. Funktionéiert IKE ass en Resultat vu klengen Päck, an Applikatiounspäck a voller Gréisst kënnen nach ëmmer feehlschloen, wa just zwee Headeren derbäikommen; testt mat enger bekannter Notzlaaschtgréisst um richtege Wee amplaz unzehuelen, datt d'Zuelen opginn. D'Arithmetik ass einfach, de Wee net.