Di mana VPN tapak anda berakhir menentukan apa yang diperiksa

Terowong antara tapak menyembunyikan satu butiran yang menentukan seluruh reka bentuk pemeriksaan: peranti tepat tempat paket dalam muncul sebagai teks biasa. Semua sebelum titik itu melihat ESP, dan semua selepasnya melihat IP biasa yang boleh ditangkap oleh peraturan. Letakkan sempadan di tempat yang salah dan tembok api yang anda bayar menjadi penghala berlesen. Huraian di bawah melukis garisan dahulu dan hanya kemudian bertanya peranti mana yang sepatutnya memilikinya.

Lukis garisan di tempat paket berhenti disulitkan

Dalam mod terowong, paket asal disulitkan dan dibalut dalam pengepala IP luar baharu yang dialamatkan kepada gerbang rakan. Paket luar itu membawa protokol 50 untuk ESP, jadi mana-mana peranti antara kedua gerbang boleh menghalakannya tanpa membaca alamat dalam. Peranti pertama yang menyahsulit ialah sempadan keselamatan, dan ia juga peranti pertama yang boleh mengenakan dasar pada aliran dalam. Semua di hilir titik itu ialah penghalaan biasa.

Tandakan tiga perkara pada rajah: titik akhir luar yang menerima ESP, rangkaian terlindung yang dinamakan dalam dasar, dan hop seterusnya yang diambil oleh paket yang telah dinyahsulit. Jika ketiga-tiganya tidak berada pada peranti yang sama, anda mempunyai penyerahan yang perlu direka, bukan satu titik kawalan.

RFC 4301 memanggil peranti yang menyahsulit sebagai gerbang keselamatan dan menganggap dasarnya sebagai sebahagian daripada sempadan. Ini kerangka yang lebih berguna daripada kategori produk, kerana peranti ialah sempadan apabila ia memegang dasar, bukan apabila lembaran datanya menyebut tembok api.

Tembok api sebagai titik akhir: satu peranti, satu titik dasar

Apabila tembok api menamatkan terowong, penghala di atasnya hanya perlu menyampaikan ESP kepadanya. Tembok api mengesahkan rakan, menyahsulit, kemudian mengenakan peraturan biasanya pada paket dalam dalam perjalanan ke VLAN pelayan. Ini memberi satu tempat untuk membaca dasar dan satu tempat untuk membaca log, yang biasanya diminta oleh audit.

Periksa dua kebenaran itu secara berasingan. Membenarkan IKE dan ESP ke peranti bukan peraturan yang sama dengan membenarkan tapak jauh mencapai pelayan, dan tembok api yang menerima terowong tetapi menyekat aliran dalam kelihatan tepat seperti terowong rosak dari hujung jauh.

Kosnya ialah tembok api kini berada di laluan seluruh trafik tapak, jadi daya tampungnya, had sesi dan tingkah laku kegagalan alihnya menjadi tingkah laku terowong itu sendiri. Saizkan ia untuk aliran tapak gabungan, bukan untuk profil akses jauh yang mungkin menjadi sebab pembeliannya.

Penghala sebagai titik akhir: hop pemeriksaan menjadi pilihan

Apabila penghala menyahsulit, paket sudah jelas apabila tiba di jadual penghalaan. Jika tembok api berasingan perlu memeriksa trafik itu, penghala mesti menghantarnya melalui tembok api dan laluan balik mesti kembali dengan cara yang sama. Laluan terus dari penghala ke VLAN pelayan secara senyap mengeluarkan tembok api dari laluan sambil membiarkannya pada rajah.

Inilah kegagalan yang perlu dicari dalam rangkaian sedia ada: dua laluan ke awalan yang sama, satu melalui tembok api dan satu terus, dengan yang terus menang pada panjang awalan atau metrik. Terowong masih melalukan trafik dan pemeriksaan yang anda yakini tidak berlaku.

Terowong berasaskan laluan menjadikan ini kelihatan, kerana terowong ialah antara muka yang boleh dihalakan melalui peranti lain. Terowong berasaskan dasar memilih trafik dengan pemilih, yang boleh meninggalkan paket yang telah dinyahsulit pada penghala tanpa destinasi lain.

Tanya kedua-dua calon lima soalan yang sama

Lembaran kerja pendek mengalahkan matriks ciri, kerana setiap soalan memetakan kepada satu garisan pada rajah. Tanya setiap calon:

• Versi IKE mana, kaedah pengesahan rakan dan model penghalaan mana yang benar-benar disokong oleh keluaran ini?
• Di mana ESP diterima, dan di mana aliran yang dinyahsulit dibenarkan atau dinafikan?
• Bagaimana hos tempatan mempelajari awalan jauh, dan bagaimana pihak jauh mempelajari awalan anda?
• Daya tampung, bilangan sesi dan tingkah laku kegagalan alih seperti apa yang mesti ditanggung oleh titik akhir untuk beban kerja sebenar?
• Siapa yang memiliki kelayakan rakan, dasar dan laluan pemulihan apabila terowong ialah perkara yang rosak?

pfSense mendokumentasikan IPsec berasaskan dasar dan berasaskan laluan sebagai model berasingan dengan kekangan berasingan, dan perbezaan itu lebih penting daripada label pada kotak. Periksa mod tepat dan penapisan trafik yang dinyahsulit yang disokong pada keluaran yang benar-benar akan anda gunakan.

Jika calon tidak dapat menjawab soalan kedua dengan peraturan yang boleh anda baca, itu bukan sempadan yang anda mahu, sebaik mana pun ia melakukan perkara lain. Minta teks peraturan dan bukan jawapan ya, dan anggap jawapan kabur sebagai tidak.

Sahkan laluan dengan tangkapan, bukan dengan rajah

Rajah menerangkan niat dan tangkapan menerangkan tingkah laku, jadi pastikan antara muka mana yang membawa ESP dan mana yang membawa aliran dalam sebelum mempercayai mana-mana satu.

tcpdump -ni wan0 esp
tcpdump -ni lan0 host 10.60.4.20
ip xfrm policy list

Jika tangkapan pertama menunjukkan ESP datang dan yang kedua menunjukkan paket dalam di sebelah LAN, titik nyahsulit berada di tempat yang anda sangka. Jika paket dalam muncul pada segmen yang memintas tembok api, penghalaan salah, apa pun kata teks dasar. Senarai xfrm kemudian menunjukkan pemilih mana yang dipasang dan ke arah mana.

Ulangi tangkapan pada laluan balik, kerana penghalaan asimetri lazim apabila satu tapak mempunyai dua kemungkinan keluar. Terowong yang berfungsi pada satu arah dan tamat masa pada arah lain hampir selalu ini, dan tiada penyuntingan dasar di pihak jauh yang membaikinya.