IPsec fi IPsec: liema indirizzi għandu jġorr il-mina ta' barra

Agħti lill-mina ta' barra l-indirizzi tal-bibien interni, mhux is-subnets tal-applikazzjonijiet. Imbagħad ipprova l-forwarding, it-traduzzjoni u l-MTU f'kull saff qabel ma ssejħilha nested.

IPsec nested huwa eħfef biex wieħed jaħseb dwaru meta ż-żewġ saffi jispiċċaw fuq magni differenti. Erba' bibien, żewġ mini u mistoqsija waħda li tiddetermina jekk id-disinn jaħdimx: x'jara l-mina ta' barra fil-fatt meta dik ta' ġewwa tkun spiċċat bil-pakkett? Wieġeb dik u s-seletturi, ir-rotot u l-ordni tal-istħarriġ tal-problemi jiġu warajha. Żbalja u tqatta' ġurnata tiddibbagga mina li teknikament hija attiva.

Il-mudell ta' erba' bibien

Il-bibien ta' barra A u B jibnu l-ewwel mina bejn iż-żewġ siti. Wara A hemm il-bieb intern C bl-indirizz ta' transitu 10.60.0.2; wara B hemm il-bieb intern D bl-indirizz ta' transitu 10.70.0.2. In-netwerks tal-applikazzjonijiet jgħixu wara C u D, u kull indirizz fl-eżempju apposta ma jikkoinċidix.

application net -> C -> A == outer IPsec == B -> D -> application net
                       \---------- inner IPsec ----------/

C transit: 10.60.0.2      D transit: 10.70.0.2
A and B:    underlay addresses only

Li tqassam is-saffi fuq erba' hosts ifisser li kull magna tinforza fruntiera waħda. Host wieħed li jħaddem iż-żewġ saffi jrid jaqbel żewġ settijiet ta' politiki, żewġ tabelli tar-rotot u żewġ modi ta' falliment fuq magna waħda, li huwa possibbli u ħafna aktar diffiċli biex jiġi osservat.

Kull saff ineħħi biss il-protezzjoni tiegħu stess

C jiċċifra pakkett tal-applikazzjoni għal D. Ir-riżultat huwa indirizzat minn C għal D, u dak huwa li jasal għand A. Kollox warajh jiddependi minn dik ir-riscrittura.

A jiċċifrah mill-ġdid għal B. B jiddeċifra s-saff ta' barra, jara pakkett minn C għal D u jgħaddih 'il quddiem għadha ċċifrata. D ineħħi l-protezzjoni interna u jwassal il-pakkett tal-applikazzjoni.

Għalhekk A u B jaraw il-punti tat-tmiem interni u l-metadata tagħhom, iżda mhumiex il-partijiet li jiddeċifraw it-tagħbija tal-applikazzjoni. Din hija proprjetà vera tad-disinn u mhix affermazzjoni li C, D jew il-hosts tal-applikazzjonijiet huma affidabbli.

Is-seletturi ta' barra jsemmu l-bibien interni

Hawnhekk tfalli l-maġġoranza ta' dawn il-bini. Għal mina ta' barra bbażata fuq il-politika, is-seletturi li tinnegozja għandhom ikollhom l-indirizzi li A u B fil-fatt jimmaniġġjaw: 10.60.0.2/32 u 10.70.0.2/32, fl-ordni lokali u remota t-tajba.

Li tqiegħed is-subnets finali tal-applikazzjoni fis-seletturi ta' barra ma jaħdimx, għax meta pakkett jasal għand A, l-enkapsulament intern ikun diġà kiteb mill-ġdid dak li A għandu jipproteġi. Imbagħad il-politika ta' barra ma taqbel ma' xejn, u l-mina titla' mingħajr ma ġġorr data.

Tidjieqx il-permess ta' barra għal UDP 500. Il-konnessjoni interna għandha t-triq tad-data tagħha stess, li tuża ESP jew enkapsulament UDP skont dak li nnegozjat, u l-politika ta' barra trid tippermetti dak il-protokoll.

Ivverifika r-riżultat b' swanctl --list-sas fuq kull bieb u ikkonferma li l-assoċjazzjonijiet tas-sigurtà tat-tfal jirrappurtaw l-indirizzi li ħsibt, mhux dawk li assumejt. Jekk il-lista turi s-subnets tal-applikazzjoni, il-politika ta' barra nkitbet għas-saff ħażin. Sejjaħ is-seletturi qabel ma tiddibbagga r-routing, għax ir-routing jidher tajjeb u l-kontaturi ma jiċċaqalqux.

Il-forwarding u n-nassa tar-rekursjoni

Is-seletturi ma jissostitwixxux ir-routing. A u B iridu jgħaddu t-traffiku bejn C u D fiż-żewġ direzzjonijiet, li jfisser forwarding IP mixgħul, rotot li jindikaw lejn il-mina u triq tar-ritorn li teżisti fuq in-naħa l-oħra.

Jekk il-mina ta' barra tuża interfaces XFRM, ir-rotot jagħżlu l-interface waqt li l-politiki nnegozjati għadhom jillimitaw dak li ġġorr. Interface ma jwessax dak li huwa protett; huwa biss ibiddel kif il-kernel jaqbad il-pakkett.

In-nassa hija r-rekursjoni. Ir-rotta ta' A lejn il-punt tat-tmiem ta' barra ta' B trid issegwi l-underlay, mhux il-mina li A qed jistabbilixxi, inkella l-enkapsulament jipprova jivvjaġġa fih innifsu u l-konnessjoni qatt ma titlesta.

Spezzjona t-traduzzjoni qabel ma żżid saffi

Ħares lejn kwalunkwe NAT tas-sors fuq A u B qabel ma tirregola xi ħaġa oħra. Regola li terġa' tikteb l-indirizz ta' C qabel ma tapplika l-politika IPsec tista' tkisser is-seletturi miftiehma, u tista' wkoll tbiddel dak li jirċievi D fuq in-naħa l-oħra.

Il-maskerar wiesa' ma jsirx aktar sigur minħabba żewġ saffi. Jaħbi liema indirizz jara t-tarf imbiegħed, u dik hija eżattament l-informazzjoni li għandek bżonn meta l-mina tkun attiva u l-applikazzjoni le.

Jekk regola NAT hija tassew meħtieġa, ikteb liema indirizz kull naħa taħseb li qed titkellem miegħu. Dik il-linja waħda ssolvi l-maġġoranza tad-dibattiti dwar jekk il-mina jew it-traduzzjoni hijiex il-ħtija. Tgħid ukoll lill-inġinier li jmiss fejn għandu jħares meta r-regola titneħħa sena wara. Ping mhu se jagħmel xejn minn dan.

Ipprova l-fail-closed u vverifika l-MTU

Roġa li tisparixxi mhix fiha nnifisha politika fail-closed. Tabella oħra, rotta default jew regola ta' politika jistgħu jipprovdu alternattiva bil-kwiet, u l-uniku mod kif issir taf huwa li tniżżel il-mina ta' barra u tosserva x'jagħmel it-traffiku tal-applikazzjoni. Agħmel dan apposta, f'tieqa, minflok ma tiskoprih b'aċċident.

Ittestja tliet stati: mina ta' barra 'l isfel, mina ta' ġewwa 'l isfel, u rkupru wara li t-tnejn jerġgħu lura. Uża l-kontaturi tal-politika fuq kull bieb, għax żewġ sessjonijiet IKE stabbiliti jippruvaw biss li n-negozjar tal-pjan ta' kontroll irnexxa.

Ibbudgetja ż-żewġ enkapsulamenti. IKE li jaħdem huwa riżultat ta' pakketti żgħar, u pakketti tal-applikazzjoni ta' daqs sħiħ xorta jistgħu jfallu ladarba jiżdiedu żewġ headers; ittestja b'daqs tal-payload magħruf fit-triq vera minflok ma tassumi li n-numri jaqblu. L-aritmetika hija faċli, it-triq mhix.

Artikli relatati