तुमच्या साइटचा VPN कुठे संपतो हे ठरवते की काय तपासले जाईल

साइट्समधील बोगदा एक तपशील लपवतो जो संपूर्ण तपासणीचे रचनाकार्य ठरवतो: तेच उपकरण ज्यावर आतील पॅकेट स्पष्ट मजकुरात दिसते. त्या बिंदूपूर्वी सर्व काही ESP पाहते आणि त्यानंतर सर्व काही सामान्य IP पाहते जे एखादा नियम पकडू शकतो. सीमा चुकीच्या ठिकाणी ठेवा आणि ज्या फायरवॉलसाठी तुम्ही पैसे दिले ती परवानाधारक राउटर होते. खालील मार्गदर्शन आधी रेषा काढते आणि त्यानंतरच कोणते उपकरण तिचे मालक असावे असे विचारते.

रेषा तिथे काढा जिथे पॅकेट यापुढे एन्क्रिप्टेड राहत नाही

बोगदा मोडमध्ये मूळ पॅकेट एन्क्रिप्ट होते आणि समकक्ष गेटवेकडे पत्ता असलेल्या नवीन बाह्य IP शीर्षलेखात गुंडाळले जाते. ते बाह्य पॅकेट ESP साठी प्रोटोकॉल 50 वाहते, म्हणून दोन्ही गेटवेमधील कोणतेही उपकरण आतील पत्ते न वाचता ते मार्गित करू शकते. डिक्रिप्ट करणारे पहिले उपकरण हीच सुरक्षा सीमा आहे आणि तेच आतील प्रवाहावर धोरण लागू करू शकणारे पहिले उपकरण आहे. त्या बिंदूखालील सर्व काही सामान्य मार्गनिर्देशन आहे.

आकृतीवर तीन गोष्टी चिन्हांकित करा: ESP स्वीकारणारा बाह्य अंतिम बिंदू, धोरणात नामनिर्देशित संरक्षित जाळी, आणि डिक्रिप्ट झालेला पॅकेट घेणारी पुढील झेप. या तीन एकाच उपकरणावर नसल्यास तुमच्याकडे रचना करण्यासारखे हस्तांतरण आहे, एकच नियंत्रण बिंदू नाही.

RFC 4301 डिक्रिप्ट करणाऱ्या उपकरणाला सुरक्षा गेटवे म्हणते आणि त्याचे धोरण सीमेचा भाग मानते. ही उत्पादन श्रेणीपेक्षा अधिक उपयुक्त चौकट आहे, कारण उपकरण तेव्हा सीमा असते जेव्हा ते धोरण धारण करते, तेव्हा नाही जेव्हा त्याची माहितीपत्रक फायरवॉल म्हणते.

फायरवॉल समाप्ती म्हणून: एक उपकरण, एक धोरण बिंदू

जेव्हा फायरवॉल बोगदा संपवते, तेव्हा वरील राउटरला फक्त ESP त्याला द्यायचे असते. फायरवॉल समकक्षाची प्रमाणितता तपासते, डिक्रिप्ट करते आणि नंतर सर्व्हर VLAN कडे जाताना आतील पॅकेटवर आपले नेहमीचे नियम लागू करते. यामुळे धोरण वाचण्याचे एक ठिकाण आणि नोंदी वाचण्याचे एक ठिकाण तयार होते, जे सहसा ऑडिट मागते.

दोन्ही परवानग्या वेगळ्या तपासा. उपकरणाकडे IKE आणि ESP ला परवानगी देणे हा दूरस्थ साइटला सर्व्हरपर्यंत पोहोचण्याची परवानगी देण्यासारखा तोच नियम नाही, आणि जो फायरवॉल बोगदा स्वीकारतो पण आतील प्रवाह अडवतो तो दुसऱ्या टोकाकडून अगदी तुटलेल्या बोगद्यासारखा दिसतो.

किंमत ही आहे की फायरवॉल आता साइटच्या सर्व रहदारीच्या मार्गावर आहे, त्यामुळे त्याचा थ्रूपुट, सत्र मर्यादा आणि अपयशावर बदलण्याचे वर्तन हेच बोगद्याचे वर्तन होते. ते एकत्रित साइट प्रवाहांसाठी मोजा, कदाचित खरेदी केलेल्या दूरस्थ प्रवेश प्रोफाइलसाठी नाही.

राउटर समाप्ती म्हणून: तपासणीची झेप ऐच्छिक होते

जेव्हा राउटर डिक्रिप्ट करते, तेव्हा पॅकेट मार्गनिर्देशन तक्त्यापर्यंत पोहोचताना आधीच स्पष्ट असते. जर वेगळ्या फायरवॉलने ती रहदारी तपासायची असेल, तर राउटरने ती फायरवॉलमधून पाठवायची असते आणि परतीचा मार्ग त्याच प्रकारे परत आला पाहिजे. राउटरपासून सर्व्हर VLAN पर्यंतचा थेट मार्ग फायरवॉलला गुपचूप मार्गातून काढून टाकतो आणि आकृतीत ठेवतो.

हाच तो दोष आहे जो विद्यमान जाळीत शोधायला हवा: एकाच उपसर्गाकडे दोन मार्ग, एक फायरवॉलमधून आणि एक थेट, आणि थेट मार्ग उपसर्ग लांबी किंवा मेट्रिकवर जिंकतो. बोगदा अजूनही रहदारी पुढे सारतो आणि तुम्ही ज्यावर विश्वास ठेवता ती तपासणी होत नाही.

मार्गाधारित बोगदे हे दृश्यमान करतात, कारण बोगदा हा इंटरफेस आहे ज्यातून दुसऱ्या उपकरणातून मार्गनिर्देशन करता येते. धोरणाधारित बोगदे रहदारी निवडकाद्वारे निवडतात, ज्यामुळे डिक्रिप्ट झालेले पॅकेट राउटरवर दुसरे ठिकाण नसताना राहू शकते.

दोन्ही उमेदवारांना तेच पाच प्रश्न विचारा

छोटी कार्यपत्रिका वैशिष्ट्य मॅट्रिक्सपेक्षा चांगली आहे, कारण प्रत्येक प्रश्न आकृतीतील एका रेषेशी जुळतो. प्रत्येक उमेदवाराला विचारा:

• कोणत्या IKE आवृत्त्या, कोणत्या समकक्ष प्रमाणीकरण पद्धती आणि मार्गनिर्देशन प्रारूप ही आवृत्ती खरोखर समर्थित करते?
• ESP कुठे स्वीकारले जाते आणि डिक्रिप्ट झालेला प्रवाह कुठे अनुमत किंवा नाकारला जातो?
• स्थानिक यजमान दूरस्थ उपसर्ग कसे शिकतात आणि दुसरी बाजू तुमचे कसे शिकते?
• खऱ्या भारासाठी अंतिम बिंदूला किती थ्रूपुट, किती सत्रे आणि अपयशावर बदलण्याचे कसे वर्तन सहन करावे लागते?
• जेव्हा बोगदाच ती तुटलेली गोष्ट असेल तेव्हा समकक्षाची ओळखपत्रे, धोरण आणि पुनर्प्राप्ती मार्गाचा मालक कोण?

pfSense धोरणाधारित आणि मार्गाधारित IPsec वेगळ्या मर्यादांसह वेगळे प्रारूप म्हणून नोंदवते, आणि हा फरक खोक्यावरील लेबलपेक्षा अधिक महत्त्वाचा आहे. तुम्ही प्रत्यक्षात तैनात कराल त्या आवृत्तीत नेमका मोड आणि डिक्रिप्ट झालेल्या रहदारीची समर्थित गाळणी तपासा.

जर एखादा उमेदवार दुसऱ्या प्रश्नाचे उत्तर तुम्ही वाचू शकता अशा नियमाने देऊ शकत नसेल, तर ती तुम्हाला हवी असलेली सीमा नाही, बाकी सर्व कितीही चांगले केले तरी. होयऐवजी नियमाचा मजकूर मागा आणि अस्पष्ट उत्तर नाही असे समजा.

मार्ग कॅप्चरने तपासा, आकृतीने नाही

आकृती हेतू सांगते आणि कॅप्चर वर्तन, म्हणून यापैकी एकावर विश्वास ठेवण्यापूर्वी कोणता इंटरफेस ESP आणि कोणता आतील प्रवाह वाहतो हे निश्चित करा.

tcpdump -ni wan0 esp
tcpdump -ni lan0 host 10.60.4.20
ip xfrm policy list

जर पहिले कॅप्चर ESP येत असल्याचे दाखवते आणि दुसरे आतील पॅकेट LAN बाजूला दाखवते, तर डिक्रिप्शन बिंदू तिथेच आहे जिथे तुम्ही विचार करता. जर आतील पॅकेट फायरवॉलला चकवणाऱ्या विभागावर दिसले, तर मार्गनिर्देशन चुकीचे आहे, धोरणाचा मजकूर काहीही सांगो. xfrm यादी नंतर दाखवते की कोणते निवडक स्थापित आहेत आणि कोणत्या दिशेने.

परतीच्या मार्गावर कॅप्चरची पुनरावृत्ती करा, कारण साइटला दोन संभाव्य निर्गम असताना असममित मार्गनिर्देशन सामान्य आहे. एका दिशेने चालणारा आणि दुसऱ्यात वेळ संपणारा बोगदा जवळजवळ नेहमी हाच असतो, आणि दुसऱ्या बाजूचे कोणतेही धोरण संपादन तो दुरुस्त करत नाही.