Fejn tispiċċa l-VPN tas-sit tiegħek jiddetermina x'jiġi spezzjonat

L-apparat li jiddekripta t-traffiku bejn is-siti jiddetermina x'għad jista' jispezzjona l-firewall. Iġbed il-konfini l-ewwel, imbagħad agħżel router jew firewall.

Mina bejn is-siti taħbi dettall wieħed li jiddetermina d-disinn kollu tal-ispezzjoni: l-apparat eżatt fejn il-pakkett intern jidher bħala test ċar. Kollox qabel ma jasal dan il-punt jara ESP, u kollox wara jara IP ordinarja li regola tista' taqbad. Qiegħed il-konfini fil-post ħażin u l-firewall li ħallast għalih tiegħu jsir router b'liċenzja. Il-mixja hawn taħt iġbed il-linja l-ewwel u mbagħad tistaqsi liema apparat għandu jkollu lilha.

Iġbed il-linja fejn il-pakkett jieqaf milli jiġi kriptat

Fil-modalità tal-mina, il-pakkett oriġinali jiġi kriptat u jingħalaq f'intestatura IP esterna ġdida indirizzata lill-gateway sħabi. Dak il-pakkett estern iġorr il-protokoll 50 għall-ESP, allura kwalunkwe apparat bejn iż-żewġ gateways jista' jirroutjah mingħajr ma jaqra l-indirizzi interni. L-ewwel apparat li jiddekripta huwa l-konfini tas-sigurtà, u huwa wkoll l-ewwel apparat li jista' japplika politika għall-fluss intern. Kollox 'l isfel minn dak il-punt huwa routing ordinarju.

Immarka tliet affarijiet fuq id-dijagramma: il-punt tat-tmiem estern li jaċċetta l-ESP, in-networks protetti msemmija fil-politika, u l-qabża li jmiss li jieħu l-pakkett dekriptat. Jekk dawn it-tlieta mhumiex fuq l-istess apparat, għandek trasferiment x'jiġi ddisinjat, mhux punt ta' kontroll wieħed.

RFC 4301 isejjaħ lill-apparat li jiddekripta gateway tas-sigurtà u jqis il-politika tiegħu bħala parti mill-konfini. Dan huwa qafas aktar utli mill-kategorija tal-prodott, għax apparat huwa konfini meta jżomm il-politika, mhux meta l-karta tad-data tiegħu tgħid firewall.

Firewall bħala tmiem: apparat wieħed, punt wieħed tal-politika

Meta l-firewall itemm il-mina, ir-router ta' fuq irid biss iwassal l-ESP lilu. Il-firewall jivverifika s-sħabi, jiddekripta, u mbagħad japplika r-regoli tas-soltu tiegħu għall-pakkett intern fit-triq lejn il-VLAN tas-servers. Dan jagħti post wieħed biex taqra l-politika u post wieħed biex taqra l-logs, li ħafna drabi huwa dak li titlob verifika.

Iċċekkja ż-żewġ permessi separatament. Li tippermetti IKE u ESP lejn l-apparat mhix l-istess regola bħal li tippermetti lil sit remot jasal għal server, u firewall li jaċċetta l-mina waqt li jimblokka l-fluss intern jidher mill-bogħod eżattament bħal mina miksura.

L-ispiża hi li l-firewall issa jinsab fit-triq tat-traffiku kollu tas-sit, allura t-throughput, il-limiti tas-sessjonijiet u l-imġiba tiegħu fil-falliment isiru l-imġiba tal-mina stess. Iddisinjaha għall-flussi magħquda tas-sit, mhux għall-profil tal-aċċess mill-bogħod li forsi nxtrat għalih.

Router bħala tmiem: il-qabża tal-ispezzjoni ssir fakultattiva

Meta r-router jiddekripta, il-pakkett diġà huwa ċar meta jasal għat-tabella tar-routing. Jekk firewall separat irid jispezzjona dak it-traffiku, ir-router irid jibagħtu mill-firewall u t-triq lura trid tiġi lura bl-istess mod. Triq diretta mir-router għall-VLAN tas-servers tneħħi l-firewall mit-triq bil-kwiet waqt li tħallih fuq id-dijagramma.

Dan huwa l-falliment li wieħed ifittex f'network eżistenti: żewġ rotot lejn l-istess prefiss, waħda mill-firewall u waħda diretta, u dik diretta tirbaħ fit-tul tal-prefiss jew fil-metrika. Il-mina xorta tgħaddi t-traffiku u l-ispezzjoni li temmen fiha ma ssirx.

Il-mini bbażati fuq ir-rotot jagħmlu dan viżibbli, għax il-mina hija interface li tista' tirroutja permezz ta' apparat ieħor. Il-mini bbażati fuq il-politika jagħżlu t-traffiku b'selettur, li jista' jħalli l-pakkett dekriptat fuq ir-router mingħajr post ieħor fejn imur.

Staqsi liż-żewġ kandidati l-istess ħames mistoqsijiet

Folja tax-xogħol qasira tegħleb matriċi tal-karatteristiċi, għax kull mistoqsija tikkorrispondi għal linja waħda fuq id-dijagramma. Staqsi lil kull kandidat:

  • Liema verżjonijiet tal-IKE, liema metodi ta' awtentikazzjoni tas-sħabi u liema mudelli ta' routing dan ir-rilaxx verament jappoġġja?
  • Fejn jiġi aċċettat l-ESP, u fejn il-fluss dekriptat jiġi permess jew miċħud?
  • Kif jitgħallmu l-hosts lokali l-prefissi remoti, u kif in-naħa l-oħra titgħallem tiegħek?
  • Liema throughput, għadd ta' sessjonijiet u mġiba fil-falliment irid jiflaħ il-punt tat-tmiem għat-tagħbija reali?
  • Min għandu l-kredenzjali tas-sħabi, il-politika u t-triq tal-irkupru meta l-mina tkun il-ħaġa miksura?

pfSense jiddokumenta l-IPsec ibbażat fuq il-politika u dak ibbażat fuq ir-rotot bħala mudelli separati b'limitazzjonijiet separati, u dik id-differenza tiswa aktar mill-label fuq il-kaxxa. Iċċekkja l-mod eżatt u l-filtrazzjoni appoġġjata tat-traffiku dekriptat fir-rilaxx li inti tassew se tiskjera.

Jekk kandidat ma jistax iwieġeb it-tieni mistoqsija b'regola li tista' taqra, mhux dak il-konfini li trid, kemm kemm jagħmel tajjeb kollox ieħor. Itlob it-test tar-regola minflok iva, u qis tweġiba mhux ċara bħala le.

Ivverifika t-triq b'qabda, mhux bid-dijagramma

Id-dijagramma tiddeskrivi l-intenzjoni u l-qabda tiddeskrivi l-imġiba, allura kkonferma liema interface iġorr l-ESP u liema jġorr il-fluss intern qabel ma tafda f'waħda minnhom.

tcpdump -ni wan0 esp
tcpdump -ni lan0 host 10.60.4.20
ip xfrm policy list

Jekk l-ewwel qabda turi ESP ġejja u t-tieni turi l-pakkett intern fuq in-naħa LAN, il-punt tad-dekriptaġġ huwa fejn taħseb. Jekk il-pakkett intern jidher fuq segment li jevita l-firewall, ir-routing huwa ħażin, x'jikteb it-test tal-politika. Il-lista xfrm imbagħad turi liema seletturi huma installati u f'liema direzzjoni.

Irrepeti l-qabda fuq it-triq lura, għax ir-routing asimmetriku huwa komuni meta sit ikollu żewġ ħruġ possibbli. Mina li taħdem f'direzzjoni waħda u tispiċċa bil-timeout fl-oħra kważi dejjem hija din, u l-ebda editjar tal-politika fuq in-naħa l-oħra ma jsewwiha.

Artikli relatati