IPsec starp diviem resursdatoriem: kur aizsardzība sākas un kur tā beidzas

Aizsardzība resursdatoru pārī sākas tur, kur beidzas drošības asociācija, un tas ir fakts, ko visbiežāk palaiž garām vārteju veidotā intuīcija. Lietojumprogrammu serveris un tā datubāzes serveris var tieši aizsargāt savu sarunu, bez jebkāda attālinātās piekļuves koncentratora ceļā, un aizsardzības robeža tad atrodas katra resursdatora iekšienē, nevis ugunsmūrī. Ko tas dod, ir pārklājums no gala līdz galam atlasītām plūsmām. Ko tas nedod, ir lēmums par to, kurš drīkst lasīt kuru rindu.

Robeža ir tur, kur beidzas SA

RFC 4301 apraksta transporta režīma drošības asociācijas kā izkārtojumu, ko parasti izmanto starp resursdatoru pāri aizsardzībai no gala līdz galam. Šie divi resursdatori tur atslēgas, un katrs izlemj, kuri no viņa paša paketiem nonāk asociācijā. Vārtejas tunelis beidzas pavisam citur un sasniedz resursdatoru caur papildu iekšēju segmentu, kas ir cita uzticības robeža arī tad, kad pakets ir šifrēts lielāko daļu sava ceļojuma.

Resursdators-ar-resursdatoru un transporta režīms tomēr nav sinonīmi. Divi resursdatori var tikpat pareizi izveidot tuneļa režīma asociāciju savā starpā, tāpēc vispirms izvēlieties režīmu un pēc tam aprakstiet galapunktus. Ierakstiet abus projektēšanas piezīmē blakus partneru adresēm, jo recenzents, kas zina tikai režīmu, pieņems otru.

SPD izlemj aizsardzību, maršruts izlemj virzienu

Maršrutēšanas tabula atbild, kur pakets dodas. Drošības politikas datubāze atbild, kā atlasītā datplūsma šķērso aizsardzības robežu, un to dara katrā virzienā ar saviem selektoriem. Šī šķirtība ir iemesls, kāpēc funkcionējošs maršruts uz datubāzi neko nepierāda par to, vai pieprasījums bija aizsargāts, un kāpēc noslēgtas pārrunas neko nepierāda par to, vai šī konkrētā lietojumprogramma tām atbilda. Salīdziniet selektorus pirms skaitītāju salīdzināšanas, jo skaitītāji apraksta tikai tās plūsmas, kas nonāca tik tālu.

Linux sistēmā ip xfrm policy izdrukā šos ierakstus ar to virzienu, prioritāti, selektoru un darbību atļaut, bloķēt vai notvert, bet ip xfrm state parāda izrietošās asociācijas un to skaitītājus. Abu lasīšana kopā ir veids, kā atrast plūsmu, kas klusi apgāja tuneli, jo plašāks atļaujas ieraksts atbilda pirmais.

Prioritāšu secība ir politikas daļa, nevis ieviešanas detaļa. Šaurs ieraksts, kam vajadzētu aizsargāt datubāzes portu, zaudē plašākam ierakstam ar augstāku prioritāti, un kļūme izskatās tā, it kā politika nekad nebūtu tikusi vaicāta.

Transporta režīms aptver nākamo slāni, nevis IP galveni

Transporta režīmā ESP galvene atrodas starp IP galveni un lietderīgo kravu, un šīs galvenes adrešu lauki paliek redzami katrai ierīcei ceļā. Tas ir labi, ja adreses nav noslēpums un krava ir. Tā ir nepareizā izvēle, ja jums papildus jāslēpj iekšējā topoloģija, jo tikai tuneļa režīms iesaiņo sākotnējo galveni jaunā.

Abi režīmi var pārvadāt vairākus nākamā slāņa protokolus, un ESP aizsargās to, kam atbilst selektors, nevis visu, ko resursdators sūta.

Atlase ir šaurāka par savienojumu

Viena asociācija var pārvadāt vairākas plūsmas, bet tikai tās, ko izvēlas politika. Reģistrējiet partneru identitātes, avota un galamērķa adreses, protokolu un paredzēto attiecību pakalpojuma apjomu, pēc tam atsevišķi izlemiet, vai neatbilstošā datplūsma drīkst iet atklāti, vai tai jābūt aizsargātai, vai tā ir jāizmet, kad asociācija nav pieejama. Tieši pēdējais lēmums rada pārsteigumus, jo noteikums, kas pieprasa aizsardzību nepareizajam avotam, var bloķēt jūsu paša pārvaldības piekļuvi tikpat efektīvi, kā tas bloķē uzbrucēju.

Kamēr maināt izpildi, uzturiet apstiprinātu ārpussaites ceļu un pārbaudiet to pirms tā vajadzības, nevis pēc tam, kad abi resursdatori kļūst nesasniedzami.

Iekārtas identitāte nav lietojumprogrammas atļauja

IPsec autentificē konfigurētu partneri un aizsargā atlasītos paketus. Tas neizlemj, kuru datubāzes ierakstu cilvēks drīkst rediģēt, un nepārvērš uzticamu servera identitāti visu lietojumprogrammas privilēģiju piešķiršanā. Lietojumprogrammas konti, lomas un autorizācija paliek tieši tur, kur tie bija, un lietojumprogrammas līmeņa TLS prasība saglabā savu mērķi arī tad, kad tīkla ceļš jau ir aizsargāts.

Pieņemiet projektu ar vienu darbību no paredzētā avota un vienu, kas ir jānoraida, un iekļaujiet, kas notiek, kad vajadzīgo asociāciju nav iespējams izveidot. Parasts sasniedzamības tests pasaka, ka paketi pārvietojas; tas nepasaka, ka tie pārvietojās saskaņā ar jūsu rakstīto politiku.