Keen tun0? Entschlësselt IPsec an nftables mat meta ipsec ofgläichen

Dir erwaart eng Tunnel-Interface, sicht se, an et gëtt näischt am Firewall fir ofzegläichen. Dat ass normal fir e polizäibaséierte Gateway: den verschlësselte Austausch kënnt op der physescher Interface un, an de entschlësselte banneschten Pak, dee weidergeleet gëtt, gëtt och observéiert wéi wann en op der selwechter Interface ukënnt. Et gëtt keen tun0, well näischt een erstallt huet.

Déi banneschten Ufro ass weiderhin en eegene Pak mat senger eegener Quell, Destinatioun a Service, an de Kernel weess aus wéi enger Sécherheetsassociatioun en erauskoum. Genau dëst Wëssen kann eng Firewall-Reeg ofgläichen.

Zwee Paketen, eng Interface

Stellt iech d'Richtung no bannen vir. En ESP- oder UDP-encapsuléierte Pak kënnt un, de Kernel fënnt déi passend Politique, entschlësselt en a gëtt de kloere Pak un de Weiderleeungswee. Eng Reeg, déi nëmmen den Numm vun der Interface kuckt, kann dee Pak net vun anerem Verkéier ënnerscheeden, deen op der selwechter Leitung ukënnt.

Wat en ënnerscheet, ass de Kontext vum Sécherheetswee no bannen, deen um Pak hänkt. nftables weist en als meta ipsec exists, wat wouer ass wann de Pak iwwer en IPsec-Sécherheetswee ukomm ass. Kombinéiert en mam Client-Pool, der Destinatioun an dem Service, an d'Reeg gëtt spezifesch genuch fir sécher ze sinn.

De Kontext ewechloossen ass de gewéinleche Feeler, an et ass e Sécherheetsfeeler an net e kosmeteschen. Eng Reeg, déi alles aus dem Client-Pool akzeptéiert, akzeptéiert just esou gäre gefälschte Pak aus dem lokale Netzwierk, well d'Quelladress eleng kee Beweis fir eppes ass. De Kontext vum Sécherheetswee ass dee bëllegste Wee fir d'Quell sënnvoll ze maachen. Schreift d'Reeg domat vum Ufank un, amplaz se no engem Audit dobäizesetzen.

Schreift d'Weiderleeungsreegel

Hëlt un, et gëtt en authentifizéierte IPv4-Fernzougriffs-Service mat Clienten an 10.90.0.0/24 an eng genehmegt Destinatioun op 203.0.113.40. E Reegelfragment fir dee Floss gesäit esou aus.

meta ipsec exists ip saddr 10.90.0.0/24 \
  ip daddr 203.0.113.40 tcp dport 443 \
  oifname "eth0" counter accept

D'Adressen an d'Interface si Beispiller fir z'ersetzen. Setzt d'iwwerprüüft Äquivalent an d'Weiderleeungspolitik virun der Reeg, déi de Floss soss ofgeleent hätt, a maacht keen existéierende Reegelsaz eidel fir en z'installéieren; e Gateway ass keen propper-Raum-Experiment.

Den Ausdrock oifname ass et wäert ze behalen. En dokumentéiert d'Entscheedung fir eraus a verhënnert, datt d'Reeg an enger Richtung entsprécht, déi Dir net gemengt hutt, wat op engem Gateway mat méi Weeër an den Internet zielt. Op enger Testkëscht mat engem eenzege Uplink gesäit den Ausdrock iwwerflësseg aus, an dat ass just de Grond firwat en ewechgeholl gëtt ier d'Këscht en zweete Uplink kritt.

D'Autorisatiounen fir den äusseren Austausch sinn getrennt. De Banneschtwee vum Gateway brauch déi IKE- an ESP- oder UDP-encapsuléiert Porten, déi en tatsächlech benotzt, an déi Autorisatiounen autoriséieren näischt iwwer de entschlësselte Pak dobannen. Déi zwee ze mëschen ass de Wee wéi en funktionéierenden Tunnel bei engem Firewall ukommt, deen alles weiderleet.

Kontext no bannen ass net Kontext no baussen

Déi selwecht Famill vun Ausdréck deckt déi aner Richtung mat rt ipsec, deen d'Sécherheetsassociatioun no baussen beschreift, déi e Pak wäert benotzen. En äntwert op eng aner Fro: net wou dëse Pak hierkënnt, mä ob en op sengem nächsten Deelstéck geschützt gëtt.

Dee Ënnerscheed zielt op engem Gateway, deen een Tunnel ofschléisst an zur selwechter Zäit an en aneren weiderleet. E Pak kann entschlësselt ukommen an nach ëmmer verschlësselt mussen erausfueren, an eng Akzeptanz déi nëmme fir de Kontext no bannen geschriwwe gouf seet näischt iwwer d'Ufuerderung no baussen. Wann d'Politik dee Schutz verlaangt, sollt de Reegelsaz en ausdrécken amplaz unzehuelen, datt d'Routing sech drëm këmmert.

Halt déi zwou Froe getrennt an eegene Reegelee fir datt de Lieser gesäit wéi eng forcéiert gëtt. Eng eenzeg flott Reeg déi béides kontrolléiert ass méi schwéier z'iwwerprüfen a vill méi schwéier z'ënnersichen, wann déi eng Hallschent ophalen entspriechend. Zwou Reegele mat Zieler soen dir och wéi eng Ufuerderung feelt, wat eng kombinéiert Reeg ni wäert maachen.

NAT ass keng Firewall-Entscheedung

Verkéier an den Internet aus engem private Client-Pool brauch meeschtens eng Quelltransmissioun, fir datt d'Äntwert de Wee zréck fënnt. Mä Verkéier deen fir eng aner IPsec-Politique no baussen ausgewielt gouf muss seng noutwenneg Ausnam behalen, an all privat Quell z'iwwermalen ouni un déi nächst Schutzentscheedung ze denken brécht dat.

Eng Akzeptanz bannen an enger NAT-Kette ass och keng allgemeng Erlaabnis. NAT a Filterung hunn ënnerschiddlech Aufgaben, an eng NAT-Kette kontrolléiert net all spéideren Pak vun engem etabléierte Floss, an dat ass just de Grond firwat sech op se fir Sécherheet ze verloossen Reegele produzéiert, déi am Test ze funktionéieren ausgesinn an ënner Belaaschtung feelen.

De Géigendeel ass och wouer an iwwerrascht d'Leit: eng Akzeptanz irgendwou an enger Filterbasis-Kette huet kee Gewiicht géint eng spéider Oflehnung an enger anerer applicabeler Kette. D'Reiefolleg an den Ëmfang vun der Kette entscheeden d'Resultat, net d'Präsenz vun enger Akzeptanz an der Datei.

Iwwerpréift de geneeë banneschten Service

Testt déi geneeë Destinatioun an de Port deen dir autoriséiert hutt, vun engem richtege Client, a bestätegt datt d'Äntwert zréckkënnt. Testt duerno eppes wat dir net autoriséiert hutt a kuckt datt et net duerchkënnt, well eng ze breet Reeg den éischten Test just esou gutt besteet wéi eng richteg. Eng Ufro déi de Client ni verléisst ass och kee Firewall-Resultat, also liest d'Zieler fir ze gesinn ob de Pak iwwerhaapt bewäert gouf. Zwee Tester an eng Zielerliestung soen dir méi wéi en ganzen Nomëtteg Reegelsaz liesen.

D'nftables-Referenz dokumentéiert meta ipsec, rt ipsec an déi richtungsspezifesch Ausdréck, an do ass dee Punkt wou een d'Syntax géint seng installéiert Versioun kontrolléiert. An halt den Ëmfang explizit: dëst ass en IPv4-Beispill, et seet näischt iwwer IPv6 aus, an et mécht arbiträr ëffentlech Port-Weiderleeung net zu engem Deel vum VPN-Service.