Kur beidzas jūsu vietnes VPN, nosaka, kas tiek pārbaudīts

Tunelis starp vietnēm slēpj detaļu, kas nosaka visu pārbaudes dizainu: precīzo ierīci, kurā iekšējais pakets parādās atklātā tekstā. Viss pirms šī punkta redz ESP, un viss pēc tā redz parasto IP, ko noteikums var atpazīt. Ielieciet robežu nepareizajā vietā, un ugunsmūris, par kuru samaksājāt, kļūst par maršrutētāju ar licenci. Turpmākā gaita vispirms novelk līniju un tikai pēc tam jautā, kurai ierīcei tā piederētu.

Novelciet līniju tur, kur pakets vairs nav šifrēts

Tuneļa režīmā sākotnējais pakets tiek šifrēts un ievīstīts jaunā ārējā IP galvenē, kas adresēta partnera vārtejai. Šī ārējā galvene pārvadā 50. protokolu ESP vajadzībām, tāpēc jebkura ierīce starp abām vārtejām var to maršrutēt, nelasot iekšējās adreses. Pirmā ierīce, kas atšifrē, ir drošības robeža, un tā ir arī pirmā ierīce, kas var piemērot politiku iekšējai plūsmai. Viss lejpus šī punkta ir parastā maršrutēšana.

Atzīmējiet zīmējumā trīs lietas: ārējo galapunktu, kas ielaiž ESP, politikā nosauktos aizsargātos tīklus, un nākamo lēcienu, ko veic atšifrētais pakets. Ja šīs trīs lietas nav vienā ierīcē, jums ir jāprojektē nodošana, nevis viens kontroles punkts.

RFC 4301 sauc atšifrējošo ierīci par drošības vārteju un tās politiku uzskata par robežas daļu. Tas ir noderīgāks ietvars nekā produkta kategorija, jo ierīce ir robeža tad, kad tai ir politika, nevis tad, kad tās datu lapā rakstīts ugunsmūris.

Ugunsmūris kā galapunkts: viena ierīce, viens politikas punkts

Kad ugunsmūris pabeidz tuneli, augšupējam maršrutētājam tikai jānogādā tam ESP. Ugunsmūris autentificē partneri, atšifrē un pēc tam piemēro savus parastos noteikumus iekšējam paketam ceļā uz serveru VLAN. Tas dod vienu vietu politikas lasīšanai un vienu vietu žurnālu lasīšanai, ko audits parasti prasa.

Pārbaudiet abas atļaujas atsevišķi. IKE un ESP atļaušana ierīcei nav tas pats noteikums kā atļaušana attālai vietnei sasniegt serveri, un ugunsmūris, kas pieņem tuneli, vienlaikus bloķējot iekšējo plūsmu, no tālā gala izskatās tieši kā salauzts tunelis.

Cena ir tā, ka ugunsmūris tagad atrodas visu vietnes datplūsmu ceļā, tāpēc tā caurlaidspēja, sesiju ierobežojumi un atteices pārslēgšanas uzvedība kļūst par paša tuneļa uzvedību. Izmēriet to apvienotajām vietnes plūsmām, nevis attālās piekļuves profilam, kuram tas varbūt tika nopirkts.

Maršrutētājs kā galapunkts: pārbaudes lēciens kļūst neobligāts

Kad maršrutētājs atšifrē, pakets jau ir atklāts, kad tas sasniedz maršrutēšanas tabulu. Ja atsevišķam ugunsmūrim ir jāpārbauda šī datplūsma, maršrutētājam tā jāsūta caur ugunsmūri, un atgriešanās ceļam jāatgriežas tāpat. Tiešs maršruts no maršrutētāja uz serveru VLAN klusām izņem ugunsmūri no ceļa, atstājot to zīmējumā.

Tā ir kļūme, ko meklēt esošā tīklā: divi maršruti uz vienu un to pašu prefiksu, viens caur ugunsmūri un viens tiešs, un tiešais uzvar prefiksa garuma vai metrikas dēļ. Tunelis joprojām laiž cauri datplūsmu, un pārbaude, kurai jūs ticat, nenotiek.

Maršrutā balstīti tuneļi to padara redzamu, jo tunelis ir saskarne, caur kuru var maršrutēt uz citu ierīci. Politikā balstīti tuneļi atlasa datplūsmu pēc selektora, kas var atstāt atšifrēto paketu maršrutētājā bez citas vietas, kur doties.

Uzdodiet abiem kandidātiem tos pašus piecus jautājumus

Īsa darba lapa pārspēj funkciju matricu, jo katrs jautājums atbilst vienai līnijai zīmējumā. Jautājiet katram kandidātam:

• Kuras IKE versijas, kādas partneru autentifikācijas metodes un maršrutēšanas modeļus šī versija patiešām atbalsta?
• Kur ESP tiek ielaists un kur atšifrētā plūsma tiek atļauta vai aizliegta?
• Kā vietējie resursdatori uzzina attālos prefiksus un kā otrā puse uzzina jūsējos?
• Kāda caurlaidspēja, sesiju skaits un atteices pārslēgšanas uzvedība galapunktam jāiztur reālajai slodzei?
• Kas atbild par partnera akreditācijas datiem, politiku un atkopšanas ceļu, kad tunelis ir tā bojātā lieta?

pfSense dokumentē politikā balstītu un maršrutā balstītu IPsec kā atsevišķus modeļus ar atsevišķiem ierobežojumiem, un šī atšķirība nozīmē vairāk nekā etiķete uz kastes. Pārbaudiet precīzo režīmu un atbalstīto atšifrētās datplūsmas filtrēšanu tajā versijā, kuru jūs faktiski izvietotu.

Ja kandidāts nevar atbildēt uz otro jautājumu ar noteikumu, ko varat izlasīt, tas nav robeža, kuru vēlaties, lai cik labi tas darītu visu pārējo. Lūdziet noteikuma tekstu, nevis jā, un izplūdušu atbildi uzskatiet par nē.

Pārbaudiet ceļu ar uztveršanu, nevis ar zīmējumu

Zīmējums apraksta nodomu un uztveršana apraksta uzvedību, tāpēc apstipriniet, kura saskarne pārvadā ESP un kura iekšējo plūsmu, pirms uzticaties kaut vienai no tām.

tcpdump -ni wan0 esp
tcpdump -ni lan0 host 10.60.4.20
ip xfrm policy list

Ja pirmā uztveršana rāda ienākošu ESP un otrā rāda iekšējo paketu LAN pusē, atšifrēšanas punkts ir tur, kur jūs domājat. Ja iekšējais pakets parādās segmentā, kas apiet ugunsmūri, maršrutēšana ir nepareiza, lai ko teiktu politikas teksts. xfrm saraksts tad rāda, kuri selektori ir instalēti un kādā virzienā.

Atkārtojiet uztveršanu atgriešanās ceļā, jo asimetriska maršrutēšana ir izplatīta, ja vietnei ir divas iespējamas izejas. Tunelis, kas strādā vienā virzienā un otrā nokļūst taimautā, gandrīz vienmēr ir tieši tas, un nekāda politikas rediģēšana otrā pusē to nelabos.