M'hemmx tun0? Qabbel IPsec deċifrat f'nftables ma' meta ipsec

Tħares lejn interface ta' tunnel, tfittixha, u fil-firewall m'hemm xejn x'qabbel. Dan huwa normali għal gateway ibbażat fuq il-politiki: l-iskambju ċifrat jasal fuq l-interface fiżika, u l-pakkett intern deċifrat li mbagħad jiġi mgħoddi jidher ukoll jaslu fuq dik l-istess interface. M'hemmx tun0 għax xejn ma ħoloq waħda.

It-talba interna għadha pakkett separat bil-bidu, id-destinazzjoni u s-servizz tiegħu stess, u l-qalba taf minn liema assoċjazzjoni tas-sigurtà ħareġ. Dan l-għarfien huwa dak li regola tal-firewall tista' tqabbel.

Żewġ pakketti, interface waħda

Immaġina d-direzzjoni tad-dħul. Jasal pakkett inkapsulat f'ESP jew UDP, il-qalba ssib il-politika li taqbel, tiddiċifrah u tgħaddi l-pakkett ċar lill-mogħdija tal-għoti. Regola li tħares biss lejn l-isem tal-interface ma tistax tiddistingwi dak il-pakkett minn traffiku ieħor li jasal fuq l-istess wajer.

Dak li jiddistingwih huwa l-kuntest tal-mogħdija tas-sigurtà tad-dħul imwaħħal mal-pakkett. nftables jesponih bħala meta ipsec exists, li huwa veru meta l-pakkett jasal permezz ta' mogħdija tas-sigurtà IPsec. Għaqdu mal-grupp tal-klijenti, id-destinazzjoni u s-servizz, u r-regola ssir speċifika biżżejjed biex tkun sigura.

Li tħalli barra l-kuntest hija l-iżball komuni, u huwa żball tas-sigurtà mhux estetiku. Regola li taċċetta kull ma jiġi mill-grupp tal-klijenti taċċetta bl-istess pjaċir pakkett iffalsifikat min-netwerk lokali, għax l-indirizz tas-sors waħdu mhuwa prova ta' xejn. Il-kuntest tal-mogħdija tas-sigurtà huwa l-irħas mod kif is-sors isir sinifikanti. Ikteb ir-regola miegħu mill-bidu minflok ma żżidu wara verifika.

Ikteb ir-regola tal-għoti

Ejja ngħidu li hemm servizz ta' aċċess remot IPv4 awtentikat bil-klijenti fi 10.90.0.0/24 u destinazzjoni approvata waħda fuq 203.0.113.40. Framment ta' regola għal dak il-fluss jidher hekk.

meta ipsec exists ip saddr 10.90.0.0/24 \
  ip daddr 203.0.113.40 tcp dport 443 \
  oifname "eth0" counter accept

L-indirizzi u l-interface huma eżempji li għandhom jiġu sostitwiti. Poġġi l-ekwivalenti rivedut fil-politika tal-għoti qabel ir-regola li inkella tiċħad il-fluss, u tħarisx sett ta' regoli eżistenti biex tinstallah; gateway mhuwiex esperiment f'kamra nadifa.

It-terminu oifname jistħoqqlu jinżamm. Jiddokumenta d-deċiżjoni tal-ħruġ u jipprevjeni li r-regola taqbel f'direzzjoni li ma kellokx f'moħħok, u dan huwa importanti fuq gateway b'ħafna mogħdijiet lejn l-internet. Fuq kaxxa tal-prova b'uplink wieħed it-terminu jidher żejjed, u huwa eżattament għalhekk li jitneħħa qabel il-kaxxa tikseb it-tieni uplink.

Il-permessi għall-iskambju ta' barra huma separati. Il-mogħdija tad-dħul tal-gateway teħtieġ il-portijiet IKE u ESP jew inkapsulament UDP li tassew juża, u dawk il-permessi ma jawtorizzaw xejn dwar il-pakkett deċifrat ġewwa. Li tħallat it-tnejn huwa l-mod kif tunnel li jaħdem jispiċċa b'firewall li jgħaddi kollox.

Il-kuntest tad-dħul mhuwiex il-kuntest tal-ħruġ

L-istess familja ta' espressjonijiet tkopri d-direzzjoni l-oħra b'rt ipsec, li jiddeskrivi l-assoċjazzjoni tas-sigurtà tal-ħruġ li se juża pakkett. Iwieġeb mistoqsija differenti: mhux minn fejn ġie dan il-pakkett, imma jekk huwiex se jiġi protett fis-sieq li jmiss tiegħu.

Dan id-distinzjoni huwa importanti fuq gateway li fl-istess ħin itemm tunnel u jgħaddi fi ħdan ieħor. Pakkett jista' jasal deċifrat u xorta jkollu joħroġ ċifrat, u aċċettazzjoni miktuba biss għall-kuntest tad-dħul ma tgħid xejn dwar il-ħtieġa tal-ħruġ. Jekk il-politika titlob dik il-protezzjoni, is-sett ta' regoli għandu jesprimiha minflok ma jassumi li l-instradar se jieħu ħsiebha.

Żomm il-mistoqsijiet it-tnejn f'regoli separati sabiex il-qarrej jara liema qed tiġi infurzata. Regola waħda għaqlija li tivverifika t-tnejn hija aktar diffiċli biex tiġi riveduta u ħafna aktar diffiċli biex tiddibuggja meta nofsha jieqaf jaqbel. Żewġ regoli b'komptaturi jgħidulek ukoll liema ħtieġa qed tfalli, xi ħaġa li regola magħquda waħda qatt mhi se tagħmel.

NAT mhuwiex deċiżjoni tal-firewall

It-traffiku lejn l-internet minn grupp ta' klijenti privat normalment jeħtieġ traduzzjoni tas-sors sabiex it-tweġiba ssib triqtha lura. Iżda t-traffiku magħżul għal politika IPsec oħra tal-ħruġ irid iżomm l-eżenzjoni meħtieġa tiegħu, u l-immaskar ta' kull sors privat mingħajr ma taħseb fid-deċiżjoni tal-protezzjoni li jmiss ikisser dan.

Aċċettazzjoni ġewwa katina NAT mhijiex permess ġenerali lanqas. NAT u filtrazzjoni għandhom xogħlijiet differenti, u katina NAT ma teżaminax kull pakkett aktar tard ta' fluss stabbilit, u huwa eżattament għalhekk li t-tama tagħha għas-sigurtà tipproduċi regoli li jidhru jaħdmu fil-prova u jfallu taħt it-tagħbija.

Il-maqlub huwa wkoll veru u jissorprendi n-nies: aċċettazzjoni x'imkien f'katina bażi waħda ta' filtrazzjoni ma għandha ebda piż kontra ċaħda aktar tard f'katina oħra applikabbli. L-ordni u l-ambitu tal-katina jiddeċiedu r-riżultat, mhux il-preżenza ta' aċċettazzjoni fil-fajl.

Ivverifika s-servizz intern eżatt

Ittesta d-destinazzjoni u l-port speċifiċi li awtorizzajt, minn klijent veru, u kkonferma li t-tweġiba terġa' lura. Imbagħad ittesta xi ħaġa li ma awtorizzajtx u vverifika li ma tgħaddix, għax regola wiesgħa wisq tgħaddi l-ewwel prova daqs kemm tgħaddiha waħda korretta. Talba li qatt ma tħalli l-klijent mhijiex ukoll riżultat tal-firewall, għalhekk aqra l-komptaturi biex tara jekk il-pakkett ġiex evalwat xejn. Żewġ testijiet u qari wieħed tal-komptatur jgħidulek aktar minn nofs jum jinqara s-sett ta' regoli.

Ir-referenza ta' nftables tiddokumenta meta ipsec, rt ipsec u l-espressjonijiet speċifiċi għad-direzzjoni, u hemmhekk huwa l-post biex tivverifika s-sintassi mal-verżjoni installata tiegħek. U żomm l-ambitu espliċitu: dan huwa eżempju IPv4, ma jgħid xejn dwar IPv6, u ma jagħmilx għoti arbitrarju ta' portijiet pubbliċi parti mis-servizz VPN.