Таны сайтын VPN хаана төгсөх нь юу шалгагдахыг шийднэ

Сайт хоорондын урсгалыг тайлдаг төхөөрөмж галт ханын юу шалгаж чадахыг шийддэг. Эхлээд хил хязгаарыг зур, дараа нь чиглүүлэгч эсвэл галт хана сонго.

Сайт хоорондын туннель нь бүх шалгалтын дизайныг шийддэг нэг нарийн ширийнийг нуудаг: дотоод багц нээлттэй текстээр гарч ирэх яг төхөөрөмж. Тэр цэгээс өмнөх бүхэн ESP хардаг, дараах бүхэн дүрэм барьж чадах энгийн IP хардаг. Хил хязгаарыг буруу газар тавьбал таны төлсөн галт хана лицензтэй чиглүүлэгч болно. Доорх зам нь эхлээд шугамыг зурж, дараа нь аль төхөөрөмж түүнийг эзэмших ёстойг асууна.

Багц шифрлэгдэхээ болих газарт шугам зур

Туннелийн горимд анхны багцыг шифрлэж, хамтрагч гарцын хаяг руу чиглэсэн шинэ гадаад IP толгойд оруулдаг. Энэ гадаад багц нь ESP-д 50 протоколыг зөөдөг тул хоёр гарцын хоорондох аль ч төхөөрөмж дотоод хаягийг уншилгүй чиглүүлж чадна. Шифрийг тайлдаг эхний төхөөрөмж нь аюулгүй байдлын хил бөгөөд дотоод урсгалд бодлого хэрэглэж чадах эхний төхөөрөмж ч мөн. Тэр цэгээс доош бүхэн энгийн чиглүүлэлт юм.

Зураг дээр гурван зүйлийг тэмдэглэ: ESP-г хүлээн авдаг гадаад төгсгөлийн цэг, бодлогод нэрлэсэн хамгаалагдсан сүлжээнүүд, ба шифр тайлагдсан багцын хийдэг дараагийн алхам. Эдгээр гурав нэг төхөөрөмж дээр байхгүй бол нэг хяналтын цэг биш, зохион бүтээх шилжүүлэг байна.

RFC 4301 шифрийг тайлдаг төхөөрөмжийг аюулгүй байдлын гарц гэж нэрлээд бодлогыг нь хилийн хэсэг гэж үздэг. Энэ нь бүтээгдэхүүний ангилалаас илүү хэрэгтэй хүрээ, учир нь төхөөрөмж бодлогыг эзэмшихдээ хил болдог, мэдээллийн хуудсанд галт хана гэж бичсэндээ биш.

Галт хана төгсгөл болох нь: нэг төхөөрөмж, нэг бодлогын цэг

Галт хана туннелийг дуусгахад дээрх чиглүүлэгч түүнд ESP-г хүргэхэд л хангалттай. Галт хана хамтрагчийг баталгаажуулж, шифрийг тайлаад, дараа нь серверийн VLAN руу явах замд дотоод багцад ердийн дүрмээ хэрэглэдэг. Ингэснээр бодлого унших нэг газар, лог унших нэг газар бий болдог бөгөөд аудит ихэвчлэн үүнийг шаарддаг.

Хоёр зөвшөөрлийг тусад нь шалга. Төхөөрөмж рүү IKE ба ESP-г зөвшөөрөх нь алсын сайтад серверт хүрэхийг зөвшөөрөхтэй ижил дүрэм биш бөгөөд туннелийг хүлээн авч дотоод урсгалыг блоклодог галт хана нөгөө талаас яг эвдэрсэн туннель мэт харагдана.

Үнэ нь галт хана одоо бүх сайтын урсгалын замд байрладаг тул түүний дамжуулах чадвар, сессийн хязгаар, нөөц рүү шилжих зан төлөв нь туннелийн өөрийнх нь зан төлөв болно. Үүнийг нэгдсэн сайтын урсгалд тохируул, магадгүй худалдан авсан алсын хандалтын профайлд биш.

Чиглүүлэгч төгсгөл болох нь: шалгалтын алхам сонголттой болно

Чиглүүлэгч шифрийг тайлахад багц чиглүүлэлтийн хүснэгтэд хүрэхдээ аль хэдийн нээлттэй байна. Хэрэв тусдаа галт хана энэ урсгалыг шалгах ёстой бол чиглүүлэгч түүнийг галт ханаар дамжуулах ёстой бөгөөд буцах зам нь мөн адил буцаж ирэх ёстой. Чиглүүлэгчээс серверийн VLAN руу шууд зам нь галт ханыг замаас чимээгүй арилгаж, зураг дээр үлдээдэг.

Энэ бол одоо байгаа сүлжээнээс хайх ёстой гэмтэл: нэг префикс рүү хоёр зам, нэг нь галт ханаар, нөгөө нь шууд, шууд нь префиксийн урт эсвэл метрикаар ялдаг. Туннель урсгалыг дамжуулсаар байгаа ч таны итгэдэг шалгалт болохгүй.

Замд суурилсан туннель үүнийг харагдахуйц болгодог, учир нь туннель бол өөр төхөөрөмжөөр дамжуулан чиглүүлж болох интерфэйс юм. Бодлогод суурилсан туннель урсгалыг селектороор сонгодог бөгөөд энэ нь шифр тайлагдсан багцыг чиглүүлэгч дээр өөр газаргүй үлдээж болно.

Хоёр нэр дэвшигчээс ижил таван асуултыг асуу

Богино ажлын хуудас нь функцийн матрицыг ялдаг, учир нь асуулт бүр зураг дээрх нэг шугамд тохирдог. Нэр дэвшигч бүрээс асуу:

  • Ямар IKE хувилбарууд, ямар хамтрагч баталгаажуулах арга, ямар чиглүүлэлтийн загварыг энэ хувилбар үнэхээр дэмждэг вэ?
  • ESP хаана хүлээн авагдаж, шифр тайлагдсан урсгал хаана зөвшөөрөгдөх эсвэл хориглогдох вэ?
  • Орон нутгийн хостүүд алсын префиксүүдийг хэрхэн сурах бөгөөд нөгөө тал таныхыг хэрхэн сурах вэ?
  • Төгсгөлийн цэг бодит ачаалалд ямар дамжуулах чадвар, сессийн тоо, нөөц рүү шилжих зан төлөвийг тэсвэрлэх ёстой вэ?
  • Эвдэрсэн зүйл нь туннель байхад хамтрагчийн итгэмжлэл, бодлого, сэргээх замд хэн хариуцлагатай вэ?

pfSense бодлогод суурилсан ба замд суурилсан IPsec-ийг тусдаа хязгаарлалттай тусдаа загвар гэж баримтжуулдаг бөгөөд энэ ялгаа хайрцаг дээрх шошгоноос илүү чухал. Бодитоор байршуулах хувилбарт яг горим болон шифр тайлагдсан урсгалын дэмжигдэх шүүлтийг шалга.

Хэрэв нэр дэвшигч хоёр дахь асуултад уншиж болох дүрмээр хариулж чадахгүй бол бусад бүхнийг хичнээн сайн хийсэн ч энэ нь таны хүссэн хил биш. Тийм гэхийн оронд дүрмийн текстийг шаардаж, бүрхэг хариултыг үгүй гэж үз.

Замыг зургаар биш, агнуураар шалга

Зураг нь санаа зорилгыг, агнуур нь зан төлөвийг дүрсэлдэг тул аль интерфэйс ESP, аль нь дотоод урсгалыг зөөж байгааг аль нэгэнд нь итгэхээс өмнө батал.

tcpdump -ni wan0 esp
tcpdump -ni lan0 host 10.60.4.20
ip xfrm policy list

Эхний агнуур ESP ирж байгааг, хоёр дахь нь дотоод багцыг LAN талд байгааг харуулбал шифр тайлах цэг таны бодож байгаа газарт байна. Хэрэв дотоод багц галт ханыг тойрсон сегмент дээр гарч ирвэл бодлогын текст юу ч гэсэн чиглүүлэлт буруу байна. xfrm жагсаалт дараа нь ямар селекторууд суулгагдсан, ямар чиглэлд байгааг харуулна.

Агнуурыг буцах замд давтаж шалга, учир нь сайт хоёр боломжит гарцтай үед тэгш хэмгүй чиглүүлэлт түгээмэл байдаг. Нэг чиглэлд ажиллаад нөгөөд нь хугацаа хэтэрдэг туннель бараг үргэлж энэ байдаг бөгөөд нөгөө талын бодлогын ямар ч засвар үүнийг засахгүй.

Холбоотой нийтлэлүүд