IPsec tarp dviejų mazgų: kur apsauga prasideda ir kur baigiasi
Mazgų pora gali apsaugoti pasirinktus srautus be tinklų sietuvės. Apibrėžkite galinius taškus, srautą atrenkančią politiką ir atskirai liekančias teises.
Apsauga mazgų poroje prasideda ten, kur baigiasi saugos asociacija, ir tai yra faktas, kurio dažniausiai nepastebi tinklų sietuvės formuojama intuicija. Programų serveris ir jo duomenų bazės serveris gali tiesiogiai apsaugoti savo pokalbį, be jokio nuotolinės prieigos koncentratoriaus kelyje, ir apsaugos riba tuomet yra kiekvieno mazgo viduje, o ne ugniasienėje. Ką tai duoda, yra ištisinė apsauga pasirinktiems srautams nuo galo iki galo. Ko tai neduoda, yra sprendimas, kas gali skaityti kurią eilutę.
Riba yra ten, kur baigiasi SA
RFC 4301 aprašo transportinio režimo saugos asociacijas kaip išdėstymą, paprastai naudojamą tarp mazgų poros apsaugai nuo galo iki galo. Tie du mazgai laiko raktus, ir kiekvienas nusprendžia, kurie jo paties paketai patenka į asociaciją. Sietuvės tunelis baigiasi visai kitur ir pasiekia mazgą per papildomą vidinį segmentą, o tai yra kita pasitikėjimo riba, net kai paketas yra šifruotas didžiąją kelio dalį.
Mazgas-su-mazgu ir transportinis režimas vis dėlto nėra sinonimai. Du mazgai gali taip pat teisingai sukurti tunelinio režimo asociaciją tarpusavyje, todėl pirmiausia pasirinkite režimą, o paskui aprašykite galinius taškus. Įrašykite abu projektavimo pastaboje šalia partnerių adresų, nes recenzentas, žinantis tik režimą, ims manyti, kad yra kitas.
SPD sprendžia apsaugą, maršrutas sprendžia kryptį
Maršrutizavimo lentelė atsako, kur paketas keliauja. Saugos politikos duomenų bazė atsako, kaip pasirinktas srautas kerta apsaugos ribą, ir tai daro kiekviena kryptimi su savo selektoriais. Šis atskyrimas yra priežastis, kodėl veikiantis maršrutas iki duomenų bazės nieko neįrodo apie tai, ar užklausa buvo apsaugota, ir kodėl sudarytos derybos nieko neįrodo apie tai, ar ši konkreti programa joms atitiko. Palyginkite selektorius prieš lygindami skaitiklius, nes skaitikliai aprašo tik tuos srautus, kurie nuėjo taip toli.
Linux sistemoje ip xfrm policy išspausdina tuos įrašus su jų kryptimi, prioritetu, selektoriumi ir veiksmu leisti, blokuoti ar sugauti, o ip xfrm state rodo gautas asociacijas ir jų skaitiklius. Abiejų skaitymas kartu yra būdas rasti srautą, kuris tyliai apėjo tunelį, nes platesnis leidimo įrašas atitiko pirmasis.
Prioritetų tvarka yra politikos dalis, o ne įgyvendinimo detalė. Siauras įrašas, kuris turėtų apsaugoti duomenų bazės prievadą, pralaimi platesniam įrašui su didesniu prioritetu, ir gedimas atrodo taip, tarsi politikos niekada nebūtų klausta.
Transportinis režimas apima kitą sluoksnį, ne IP antraštę
| Transport mode | Tunnel mode | |
|---|---|---|
| Original IP header | kept for routing the flow | replaced by an outer header |
| What ESP protects | the carried next-layer payload | the whole inner IP packet |
| Where it terminates | commonly the two hosts | gateway pair, or a host pair |
Transportiniame režime ESP antraštė yra tarp IP antraštės ir naudingojo krovinio, o tos antraštės adresų laukai lieka matomi kiekvienam kelyje esančiam įrenginiui. Tai gerai, kai adresai nėra paslaptis, o krovinys yra. Tai neteisingas pasirinkimas, jei taip pat turite paslėpti vidinę topologiją, nes tik tunelinis režimas apvynioja pradinę antraštę į naują.
Abu režimai gali perduoti keletą kito sluoksnio protokolų, o ESP apsaugos tai, ką atitinka selektorius, o ne viską, ką siunčia mazgas.
Pasirinkimas yra siauresnis už ryšį
Viena asociacija gali perduoti kelis srautus, bet tik tuos, kuriuos atrenka politika. Užregistruokite partnerių tapatybes, šaltinio ir paskirties adresus, protokolą ir numatomo ryšio paslaugos apimtį, tada atskirai nuspręskite, ar neatitinkantis srautas gali eiti atvirai, ar turi būti apsaugotas, ar turi būti numestas, kai asociacija nepasiekiama. Būtent paskutinis sprendimas sukelia netikėtumų, nes taisyklė, reikalaujanti apsaugos neteisingam šaltiniui, gali užblokuoti jūsų pačių valdymo prieigą taip pat efektyviai, kaip blokuoja įsibrovėlį.
Kol keičiate vykdymą, palaikykite patvirtintą užkanalį kelią ir išbandykite jį anksčiau, nei jo prireiks, o ne po to, kai abu mazgai taps nepasiekiami.
Įrenginio tapatybė nėra programos leidimas
IPsec autentifikuoja sukonfigūruotą partnerį ir apsaugo pasirinktus paketus. Jis nenusprendžia, kurį duomenų bazės įrašą žmogus gali redaguoti, ir nepaverčia patikimos serverio tapatybės visų programos privilegijų suteikimu. Programos paskyros, vaidmenys ir autorizacija lieka tiksliai ten, kur buvo, o programos lygmens TLS reikalavimas išlaiko savo tikslą, net kai tinklo kelias jau apsaugotas.
Priimkite projektą su viena operacija iš numatyto šaltinio ir viena, kuri turi būti atmesta, ir įtraukite, kas nutinka, kai reikiamos asociacijos neįmanoma sudaryti. Įprastas pasiekiamumo testas pasako, kad paketai juda; jis nepasako, kad jie judėjo pagal jūsų parašytą politiką.