Каде завршува VPN-от на вашиот сајт одредува што се проверува

Тунелот меѓу локации крие детаљ што го одредува целиот проект на проверка: точниот уред на кој внатрешниот пакет се појавува во отворена форма. Сѐ пред таа точка гледа ESP, а сѐ по неа гледа обичен IP што правило може да го фати. Поставете ја границата на погрешно место и заштитниот ѕид за кој плативте станува рутер со лиценца. Приказот подолу прво ја црта линијата и дури потоа прашува кој уред треба да ја поседува.

Нацртајте ја линијата таму каде пакетот престанува да биде шифриран

Во режим на тунел, оригиналниот пакет се шифрира и се завиткува во нов надворешен IP заглавје адресиран до партнерскиот портал. Тој надворешен пакет носи протокол 50 за ESP, така што секој уред меѓу двата портали може да го рутира без да ги чита внатрешните адреси. Првиот уред што дешифрира е безбедносната граница и воедно првиот што може да примени политика на внатрешниот тек. Сѐ низводно од таа точка е обично рутирање.

Означете три работи на цртежот: надворешната крајна точка што го пушта ESP, заштитените мрежи наведени во политиката, и следниот скок што го прави дешифрираниот пакет. Ако тие три не се на истиот уред, имате предавање што треба да се проектира, а не една контролна точка.

RFC 4301 го нарекува уредот што дешифрира безбедносен портал и неговата политика ја третира како дел од границата. Тоа е покорисна рамка од категоријата производ, бидејќи уредот е граница кога ја држи политиката, а не кога неговиот лист со податоци вели заштитен ѕид.

Заштитен ѕид како завршеток: еден уред, една точка на политика

Кога заштитниот ѕид го завршува тунелот, рутерот над него само треба да му достави ESP. Заштитниот ѕид го проверува идентитетот на партнерот, дешифрира и потоа ги применува своите вообичаени правила на внатрешниот пакет на патот кон VLAN-от на серверите. Така има едно место за читање на политиката и едно место за читање на дневниците, што ревизијата обично го бара.

Проверете ги двете дозволи одделно. Дозволувањето IKE и ESP кон уредот не е исто правило како дозволување на далечна локација да стигне до сервер, а заштитен ѕид што го прифаќа тунелот блокирајќи го внатрешниот тек изгледа од другата страна точно како расипан тунел.

Цената е што заштитниот ѕид сега стои на патот на целиот сообраќај на локацијата, па неговата пропусност, ограничувањата на сесиите и однесувањето при префрлање стануваат однесување на самиот тунел. Димензионирајте го за здружените текови на локацијата, а не за профилот за далечински пристап за кој можеби е купен.

Рутер како завршеток: скокот за проверка станува незадолжителен

Кога рутерот дешифрира, пакетот е веќе отворен кога стигнува до табелата за рутирање. Ако одделен заштитен ѕид треба да го проверува тој сообраќај, рутерот мора да го испрати низ заштитниот ѕид, а повратниот пат мора да се врати на ист начин. Директна рута од рутерот до VLAN-от на серверите тивко го отстранува заштитниот ѕид од патот, оставајќи го на цртежот.

Тоа е дефектот што треба да се бара во постоечка мрежа: две рути кон истиот префикс, една низ заштитниот ѕид и една директна, при што директната победува по должина на префиксот или метрика. Тунелот сѐ уште пропушта сообраќај, а проверката во која верувате не се случува.

Тунелите засновани на рути го прават тоа видливо, бидејќи тунелот е интерфејс низ кој можете да рутирате низ друг уред. Тунелите засновани на политики избираат сообраќај по селектор, што може да го остави дешифрираниот пакет на рутерот без друго место.

Поставете им ги на двајцата кандидати истите пет прашања

Краток работен лист победува матрица на функции, бидејќи секое прашање одговара на една линија од цртежот. Прашајте го секој кандидат:

• Кои верзии на IKE, кои методи за автентикација на партнерот и модели на рутирање оваа верзија навистина ги поддржува?
• Каде се дозволува ESP и каде дешифрираниот тек е дозволен или забранет?
• Како локалните домаќини ги учат далечните префикси и како другата страна ги учи вашите?
• Каква пропусност, број сесии и однесување при префрлање мора крајната точка да издржи за вистинското оптоварување?
• Кој е одговорен за акредитивите на партнерот, политиката и патот за обновување кога тунелот е тоа расипано нешто?

pfSense документира IPsec заснован на политики и IPsec заснован на рути како одделни модели со одделни ограничувања, и таа разлика е поважна од етикетата на кутијата. Проверете го точниот режим и поддржаното филтрирање на дешифрираниот сообраќај во верзијата што навистина би ја распоредиле.

Ако кандидатот не може да одговори на второто прашање со правило што можете да го прочитате, тоа не е границата што ја сакате, колку и да е добар во сѐ друго. Побарајте го текстот на правилото наместо „да“ и нејасниот одговор третирајте го како „не“.

Проверете го патот со снимање, а не со цртеж

Цртежот ја опишува намерата, а снимањето го опишува однесувањето, затоа потврдете кој интерфејс носи ESP, а кој внатрешниот тек пред да им верувате на било кој од нив.

tcpdump -ni wan0 esp
tcpdump -ni lan0 host 10.60.4.20
ip xfrm policy list

Ако првото снимање покажува ESP што пристигнува, а второто го покажува внатрешниот пакет на страната на LAN, точката на дешифрирање е таму каде што мислите. Ако внатрешниот пакет се појави на сегмент што го заобиколува заштитниот ѕид, рутирањето е погрешно, што и да вели текстот на политиката. Списокот xfrm потоа покажува кои селектори се инсталирани и во кој правец.

Повторете го снимањето на повратниот пат, бидејќи асиметричното рутирање е вообичаено кога локацијата има два можни излези. Тунел што работи во еден правец, а во другиот истекува, речиси секогаш е токму тоа, и никакво уредување на политиката од другата страна тоа нема да го поправи.