Wou Äre Site-VPN ophält entscheet, wat gepréift gëtt

En Tunnel tëschent Siten verstoppt een Detail, deen de ganze Prüfdesign entscheet: den exakten Apparat, op deem de bannenzege Paket als kloeren Text erschéngt. Alles virun deem Punkt gesäit ESP, an alles duerno gesäit gewéinlech IP, déi eng Regel ka gräifen. Setzt d'Grenz op déi falsch Plaz an d'Firewall, fir déi Dir bezuelt hutt, gëtt en Router mat enger Lizenz. D'Uleedung hei drënner zitt d'Linn fir d'éischt an freet dunn, wéi en Apparat si soll besëtzen.

Zitt d'Linn do, wou de Paket ophält verschlësselt ze sinn

Am Tunnelmodus gëtt de urspréngleche Paket verschlësselt a an en neien ausseren IP-Kapp agewéckelt, deen un de Partner-Gateway adresséiert ass. Dee baussenzege Paket dréit de Protokoll 50 fir ESP, also kann all Apparat tëschent den zwou Gateways en route loossen, ouni déi bannenzen Adressen ze liesen. Den éischten Apparat, dee entschlësselt, ass d'Sécherheetsgrenz, an et ass och den éischten Apparat, deen eng Politik op de bannenzege Flux ka uwenden. Alles ënnerhalb vun deem Punkt ass gewéinlech Routing.

Markéiert dräi Saachen op der Zeechnung: de baussenzegen Endpunkt, deen ESP unhëlt, déi geschützte Netzwierker, déi an der Politik genannt ginn, an de nächsten Sprong, deen de entschlësselte Paket mécht. Wann déi dräi net op deem selwechten Apparat sinn, hutt Dir eng Iwwergab ze designen, net een eenzegen Kontrollpunkt.

RFC 4301 nennt den Apparat, deen entschlësselt, eng Sécherheets-Gateway a behandelt seng Politik als Deel vun der Grenz. Dëst ass en nëtzlechere Kader wéi d'Produktkategorie, well en Apparat eng Grenz ass, wann en d'Politik hält, net wann säi Dateblat Firewall seet.

Firewall als Enn: een Apparat, een Politikpunkt

Wann d'Firewall den Tunnel ofschléisst, muss den ieweschten Router nëmmen ESP un si liwweren. D'Firewall authentifizéiert de Partner, entschlësselt a setzt duerno seng gewéinlech Reegelen um bannenzege Paket ëm, op dem Wee an de VLAN vun de Serveren. Dat gëtt eng Plaz fir d'Politik ze liesen an eng Plaz fir d'Logbicher ze liesen, wat eng Auditioun normalerweis freet.

Préift déi zwou Erlaabnesser getrennt. IKE an ESP op den Apparat zou ze loossen ass net déi selwecht Regel wéi engem wäitem Site ze erlaben, e Server z'erreechen, an eng Firewall, déi den Tunnel unhëlt an dobäi de bannenzege Flux blockéiert, gesäit vum wäiten Enn genee wéi en defekten Tunnel aus.

De Präis ass, datt d'Firewall elo um Wee vum ganze Site-Verquéier läit, also ginn hire Duerchsetz, hir Sessiounslimiten an hiert Verhalen beim Ausfall d'Verhalen vum Tunnel selwer. Dimensiounéiert si fir déi kombinéiert Site-Fluxen, net fir de Profil vum wäite Zougrëff, fir deen si vläicht kaaft gouf.

Router als Enn: de Prüfsprong gëtt fakultativ

Wann de Router entschlësselt, ass de Paket schonn kloer, wann en d'Routingtabelle erreecht. Wann eng separat Firewall dee Verquéier muss préifen, muss de Router en duerch d'Firewall schécken an de Réckwee muss dee selwechte Wee zeréckkommen. Eng direkt Route vum Router an de VLAN vun de Serveren zitt d'Firewall roueg vum Wee of, léisst si awer op der Zeechnung stoen.

Dat ass de Fehler, deen een an engem existente Netz siche muss: zwee Weeër op dat selwecht Präfix, eent duerch d'Firewall an eent direkt, an dat direkt gewënnt bei der Präfixlängt oder de Metriken. Den Tunnel liwwert nach ëmmer Verquéier an d'Prüfung, un déi Dir gleeft, geschitt net.

Tunnelen, déi op Weeër baséieren, maachen dat sichtbar, well den Tunnel eng Schnëttstell ass, duerch déi Dir iwwer en aneren Apparat ka ruten. Tunnelen, déi op Politik baséieren, wielen de Verquéier mat engem Selektor, wat de entschlësselte Paket um Router loosse kann, ouni en anere Bestëmmungsuert.

Frot béid Kandidaten déi selwecht fënnef Froen

En kuerze Wierkblat schléit eng Feature-Matrix, well all Fro enger Linn op der Zeechnung entsprécht. Frot all Kandidat:

• Wéi eng IKE-Versiounen, wéi eng Methoden fir d'Authentifikatioun vum Partner a wéi eng Routingmodeller ënnert dës Verëffentlechung tatsächlech?
• Wou gëtt ESP ugeholl, a wou ass de entschlësselte Flux erlaabt oder verweigert?
• Wéi léieren déi lokal Hosten déi wäit Präfixen, a wéi léiert déi aner Säit Är?
• Wéi en Duerchsetz, wéi vill Sessiounen a wéi en Verhalen beim Ausfall muss den Endpunkt fir déi richteg Aarbechtslaascht ausstoen?
• Wien ass den Eegentemer vun de Partner-Umeldungsdaten, vun der Politik an vum Erhuelungswee, wann den Tunnel dat futti Ding ass?

pfSense dokumentéiert politikbaséierten an weegebaséierten IPsec als getrennte Modeller mat getrennten Aschränkungen, an deen Ënnerscheed zielt méi wéi d'Etikett op der Këscht. Préift de geneeë Modus an d'ënnerstëtzte Filterung vum entschlësselte Verquéier an der Verëffentlechung, déi Dir wierklech ëmsetzt.

Wann e Kandidat déi zweet Fro net mat enger Regel ka beäntweren, déi Dir liese kënnt, ass et net d'Grenz, déi Dir wëllt, egal wéi gutt en alles anescht mécht. Frot nom Text vun der Regel amplaz vun engem Jo, a behandelt eng onkloer Äntwert als Nee.

Verifizéiert de Wee mat enger Opnam, net mat der Zeechnung

Eng Zeechnung beschreift d'Absicht an eng Opnam beschreift d'Verhalen, also bestätegt, wéi eng Schnëttstell ESP dréit a wéi eng de bannenzege Flux, ier Dir engem vun deenen zwee vertraut.

tcpdump -ni wan0 esp
tcpdump -ni lan0 host 10.60.4.20
ip xfrm policy list

Wann déi éischt Opnam weist, datt ESP ukënnt, an déi zweet de bannenzege Paket op der LAN-Säit weist, ass de Punkt vun der Entschlësselung do, wou Dir denkt. Wann de bannenzege Paket op engem Segment erschéngt, deen d'Firewall ëmgeet, ass d'Routing falsch, wat den Text vun der Politik och seet. D'Lëscht xfrm weist dann, wéi eng Selektoren installéiert sinn a wéi eng Richtung.

Widderhuelt d'Opnam um Réckwee, well assymetresch Routing heefeg ass, wann ee Site zwee méiglech Ausgäng huet. En Tunnel, deen an eng Richtung funktionéiert an an der anerer mat engem Timeout ophält, ass bal ëmmer dat, an et gëtt keng Ännerung vun der Politik op der anerer Säit, déi et reparéiert.