Kur baigiasi jūsų svetainės VPN, nustato, kas tikrinama

Tunelis tarp svetainių slepia detalę, kuri nustato visą tikrinimo projektą: tikslų įrenginį, kuriame vidinis paketas pasirodo atviru tekstu. Viskas prieš tą tašką mato ESP, o viskas po jo mato įprastą IP, kurį taisyklė gali atpažinti. Padėkite ribą netinkamoje vietoje, ir ugniasienė, už kurią sumokėjote, tampa maršrutizatoriumi su licence. Toliau pateikta eiga pirmiausia nubrėžia liniją ir tik tada klausia, kuris įrenginys turėtų jai priklausyti.

Nubrėžkite liniją ten, kur paketas nustoja būti šifruojamas

Tunelio režimu pradinis paketas užšifruojamas ir įvelkamas į naują išorinę IP antraštę, adresuotą partnerio tinklų sietuvui. Ši išorinė antraštė perneša 50 protokolą ESP, todėl bet kuris įrenginys tarp dviejų tinklų sietuvų gali jį maršrutizuoti neskaitydamas vidinių adresų. Pirmasis įrenginys, kuris iššifruoja, yra saugumo riba, ir jis taip pat yra pirmasis įrenginys, galintis taikyti politiką vidiniam srautui. Viskas pasroviui nuo to taško yra įprastas maršrutizavimas.

Pažymėkite tris dalykus brėžinyje: išorinį galinį tašką, kuris įleidžia ESP, politikoje įvardytus apsaugotus tinklus, ir kitą šuolį, kurį atliks iššifruotas paketas. Jei šie trys nėra tame pačiame įrenginyje, turite suprojektuoti perdavimą, o ne vieną valdymo tašką.

RFC 4301 iššifruojantį įrenginį vadina saugumo tinklų sietuvu ir jo politiką laiko ribos dalimi. Tai naudingesnė sistema nei produkto kategorija, nes įrenginys yra riba tada, kai jame yra politika, o ne tada, kai jo duomenų lape parašyta ugniasienė.

Ugniasienė kaip galinis taškas: vienas įrenginys, vienas politikos taškas

Kai ugniasienė užbaigia tunelį, prieš srovę esančiam maršrutizatoriui tereikia jai pristatyti ESP. Ugniasienė autentifikuoja partnerį, iššifruoja ir tada taiko savo įprastas taisykles vidiniam paketui kelyje į serverių VLAN. Taip gaunama viena vieta politikai skaityti ir viena vieta žurnalams skaityti, ko auditai paprastai prašo.

Patikrinkite du leidimus atskirai. IKE ir ESP leidimas įrenginiui nėra ta pati taisyklė kaip leidimas nuotolinei svetainei pasiekti serverį, o ugniasienė, kuri priima tunelį ir blokuoja vidinį srautą, iš tolimos pusės atrodo lygiai kaip sugedęs tunelis.

Kaina ta, kad ugniasienė dabar yra viso svetainės srauto kelyje, todėl jos pralaidumas, sesijų limitai ir gedimų perjungimo elgsena tampa paties tunelio elgsena. Dydį rinkitės pagal sujungtus svetainės srautus, o ne pagal nuotolinės prieigos profilį, kuriam ji galbūt buvo nupirkta.

Maršrutizatorius kaip galinis taškas: tikrinimo šuolis tampa neprivalomas

Kai maršrutizatorius iššifruoja, paketas jau yra atviras, kai pasiekia maršrutizavimo lentelę. Jei atskira ugniasienė turi tikrinti tą srautą, maršrutizatorius turi siųsti jį per ugniasienę, o grįžimo kelias turi grįžti tuo pačiu keliu. Tiesioginis maršrutas nuo maršrutizatoriaus iki serverių VLAN tyliai pašalina ugniasienę iš kelio, palikdamas ją brėžinyje.

Tai ta gedimo vieta, kurios reikia ieškoti esamame tinkle: du maršrutai į tą patį prefiksą, vienas per ugniasienę ir vienas tiesioginis, o tiesioginis laimi pagal prefikso ilgį ar metriką. Tunelis vis dar praleidžia srautą, o tikrinimas, kuriuo tikite, neįvyksta.

Maršrutais pagrįsti tuneliai tai daro matoma, nes tunelis yra sąsaja, per kurią galite maršrutizuoti per kitą įrenginį. Politika pagrįsti tuneliai parenka srautą pagal selektorių, o tai gali palikti iššifruotą paketą maršrutizatoriuje be jokios kitos vietos.

Užduokite abiem kandidatams tuos pačius penkis klausimus

Trumpa darbalapio schema nugali funkcijų matricą, nes kiekvienas klausimas atitinka vieną brėžinio liniją. Paklauskite kiekvieno kandidato:

• Kurias IKE versijas, kuriuos partnerių autentifikavimo metodus ir maršrutizavimo modelius ši versija iš tikrųjų palaiko?
• Kur ESP įleidžiamas, o kur iššifruotas srautas leidžiamas arba draudžiamas?
• Kaip vietiniai mazgai sužino nuotolinius prefiksus, o kaip kita pusė sužino jūsų?
• Kokį pralaidumą, sesijų skaičių ir gedimų perjungimo elgseną galinis taškas turi atlaikyti realiam krūviui?
• Kas atsakingas už partnerio prisijungimo duomenis, politiką ir atkūrimo kelią, kai tunelis yra ta sugedusi dalis?

pfSense dokumentuoja politika pagrįstą ir maršrutais pagrįstą IPsec kaip atskirus modelius su atskiromis apribojimais, ir šis skirtumas svarbesnis už etiketę ant dėžutės. Patikrinkite tikslią režimą ir palaikomą iššifruoto srauto filtravimą toje versijoje, kurią iš tikrųjų diegtumėte.

Jei kandidatas negali atsakyti į antrą klausimą taisykle, kurią galite perskaityti, tai ne ta riba, kurios norite, kad ir kaip gerai jis darytų visa kita. Prašykite taisyklės teksto, o ne patvirtinimo, ir neaiškų atsakymą laikykite neigiamu.

Patikrinkite kelią užfiksuotu įrašu, o ne brėžiniu

Brėžinys aprašo ketinimą, o užfiksuotas įrašas aprašo elgseną, todėl patvirtinkite, kuri sąsaja perneša ESP, o kuri vidinį srautą, prieš pasitikėdami bent vienu iš jų.

tcpdump -ni wan0 esp
tcpdump -ni lan0 host 10.60.4.20
ip xfrm policy list

Jei pirmasis įrašas rodo atvykstantį ESP, o antrasis rodo vidinį paketą LAN pusėje, iššifravimo taškas yra ten, kur manote. Jei vidinis paketas pasirodo segmente, kuris apeina ugniasienę, maršrutizavimas neteisingas, kad ir ką sako politikos tekstas. xfrm sąrašas tada rodo, kurie selektoriai įdiegti ir kuria kryptimi.

Pakartokite įrašą grįžimo kelyje, nes asimetrinis maršrutizavimas įprastas, kai svetainė turi du galimus išėjimus. Tunelis, kuris veikia viena kryptimi ir baigiasi skirtuoju laiku kita, beveik visada yra tai, ir joks politikos redagavimas kitoje pusėje to nepataisys.