तपाईंको साइटको VPN कहाँ अन्त्य हुन्छ भन्नेले जाँचिने कुरा निर्धारण गर्छ

साइटहरूबीचको सुरुङले एउटा विवरण लुकाउँछ जसले सम्पूर्ण निरीक्षण डिजाइन निर्धारण गर्छ: भित्री प्याकेट स्पष्ट पाठमा देखिने त्यही उपकरण। त्यो बिन्दुभन्दा अघि सबैले ESP देख्छ, र त्यसपछि सबैले नियमले समात्न सक्ने सामान्य IP देख्छ। सीमा गलत ठाउँमा राख्नुहोस् र तपाईंले पैसा तिर्नुभएको फायरवाल इजाजतपत्र भएको राउटर बन्छ। तलको मार्गदर्शनले पहिले रेखा कोर्छ र त्यसपछि मात्र कुन उपकरणले यसको स्वामित्व लिनुपर्छ भनी सोध्छ।

रेखा त्यहाँ कोर्नुहोस् जहाँ प्याकेट अब इन्क्रिप्टेड रहँदैन

सुरुङ मोडमा मूल प्याकेट इन्क्रिप्ट गरी सहकर्मी गेटवेमा ठेगाना भएको नयाँ बाहिरी IP हेडरमा बेरिन्छ। त्यो बाहिरी प्याकेटले ESP का लागि प्रोटोकल 50 बोक्छ, त्यसैले दुई गेटवेबीचको कुनै पनि उपकरणले भित्री ठेगाना नपढी यसलाई रुट गर्न सक्छ। डिक्रिप्ट गर्ने पहिलो उपकरण नै सुरक्षा सीमा हो, र त्यही भित्री प्रवाहमा नीति लागू गर्न सक्ने पहिलो उपकरण पनि हो। त्यो बिन्दुभन्दा तल सबै सामान्य रुटिङ हो।

चित्रमा तीनवटा कुरा चिन्ह लगाउनुहोस्: ESP स्वीकार गर्ने बाहिरी अन्तिम बिन्दु, नीतिमा नाम दिइएका संरक्षित सञ्जालहरू, र डिक्रिप्ट भएको प्याकेटले गर्ने अर्को फड्को। यी तीन एउटै उपकरणमा छैनन् भने तपाईंसँग डिजाइन गर्नुपर्ने हस्तान्तरण छ, एउटै नियन्त्रण बिन्दु होइन।

RFC 4301 ले डिक्रिप्ट गर्ने उपकरणलाई सुरक्षा गेटवे भन्छ र यसको नीतिलाई सीमाको भाग मान्छ। यो उत्पादन श्रेणीभन्दा उपयोगी ढाँचा हो, किनकि उपकरण तब सीमा हुन्छ जब यसले नीति राख्छ, तब होइन जब यसको डेटा पानाले फायरवाल भन्छ।

फायरवाल अन्त्यका रूपमा: एउटा उपकरण, एउटा नीति बिन्दु

जब फायरवालले सुरुङ अन्त्य गर्छ, माथिको राउटरले यसलाई ESP मात्र पुर्‍याउनु पर्छ। फायरवालले सहकर्मी प्रमाणित गर्छ, डिक्रिप्ट गर्छ र त्यसपछि सर्भर VLAN तर्फ जाँदै गर्दा भित्री प्याकेटमा आफ्ना सामान्य नियम लागू गर्छ। यसले नीति पढ्ने एउटा ठाउँ र लग पढ्ने एउटा ठाउँ दिन्छ, जुन सामान्यतया लेखापरीक्षणले माग्छ।

दुई अनुमति छुट्टाछुट्टै जाँच्नुहोस्। उपकरणतर्फ IKE र ESP अनुमति दिनु दूरस्थ साइटलाई सर्भरसम्म पुग्न अनुमति दिनु जस्तै एउटै नियम होइन, र सुरुङ स्वीकार गर्दै भित्री प्रवाह अवरोध गर्ने फायरवाल अर्को छेउबाट ठ्याक्कै बिग्रिएको सुरुङजस्तै देखिन्छ।

मूल्य यो हो कि फायरवाल अब साइटको सम्पूर्ण ट्राफिकको बाटोमा छ, त्यसैले यसको थ्रुपुट, सत्र सीमा र असफलतामा स्विच हुने व्यवहार नै सुरुङको व्यवहार बन्छ। यसलाई संयुक्त साइट प्रवाहका लागि नाप्नुहोस्, सायद किनिएको दूरस्थ पहुँच प्रोफाइलका लागि होइन।

राउटर अन्त्यका रूपमा: निरीक्षण फड्को वैकल्पिक हुन्छ

जब राउटरले डिक्रिप्ट गर्छ, प्याकेट रुटिङ तालिकामा पुग्दा पहिले नै स्पष्ट हुन्छ। यदि छुट्टै फायरवालले त्यो ट्राफिक निरीक्षण गर्नुपर्ने हो भने राउटरले त्यसलाई फायरवालबाट पठाउनुपर्छ र फर्कने बाटो पनि त्यही तरिकाले फर्कनुपर्छ। राउटरबाट सर्भर VLAN सम्मको सिधा मार्गले फायरवाललाई चुपचाप बाटोबाट हटाउँछ तर चित्रमा राख्छ।

यही त्यो खराबी हो जुन विद्यमान सञ्जालमा खोज्नुपर्छ: एउटै प्रिफिक्सतर्फ दुई मार्ग, एउटा फायरवालबाट र एउटा सिधा, र सिधाले प्रिफिक्स लम्बाइ वा मेट्रिकमा जित्छ। सुरुङले अझै ट्राफिक पार गराउँछ र तपाईंले विश्वास गर्ने निरीक्षण हुँदैन।

मार्गमा आधारित सुरुङहरूले यसलाई देखिने बनाउँछन्, किनकि सुरुङ एउटा इन्टरफेस हो जसबाट अर्को उपकरण हुँदै रुट गर्न सकिन्छ। नीतिमा आधारित सुरुङहरूले ट्राफिक चयनकर्ताद्वारा छान्छन्, जसले डिक्रिप्ट भएको प्याकेट राउटरमा अरू गन्तव्य नभई छोड्न सक्छ।

दुवै उम्मेदवारलाई उही पाँच प्रश्न सोध्नुहोस्

छोटो कार्यपत्रले सुविधा म्याट्रिक्सलाई हराउँछ, किनकि प्रत्येक प्रश्न चित्रको एउटा रेखासँग मेल खान्छ। प्रत्येक उम्मेदवारलाई सोध्नुहोस्:

• कुन IKE संस्करणहरू, कुन सहकर्मी प्रमाणीकरण विधि र कुन रुटिङ मोडेलहरू यो रिलिजले वास्तवमै समर्थन गर्छ?
• ESP कहाँ स्वीकार गरिन्छ र डिक्रिप्ट भएको प्रवाह कहाँ अनुमति वा अस्वीकार गरिन्छ?
• स्थानीय होस्टहरूले दूरस्थ प्रिफिक्स कसरी सिक्छन् र अर्को पक्षले तपाईंका कसरी सिक्छ?
• वास्तविक भारका लागि अन्तिम बिन्दुले कति थ्रुपुट, कति सत्र र असफलतामा स्विच हुने कस्तो व्यवहार सहनुपर्छ?
• जब सुरुङ नै बिग्रिएको कुरा हो, सहकर्मीका प्रमाणहरू, नीति र पुनःप्राप्ति मार्गको स्वामित्व कसको हुन्छ?

pfSense ले नीतिमा आधारित र मार्गमा आधारित IPsec लाई छुट्टाछुट्टै सीमा भएका छुट्टै मोडेलका रूपमा अभिलेख गर्छ, र यो भिन्नता बाकसमा टाँसिएको लेबलभन्दा बढी महत्त्वपूर्ण छ। तपाईंले वास्तवमै तैनाथ गर्ने रिलिजमा सही मोड र डिक्रिप्ट भएको ट्राफिकको समर्थित फिल्टरिङ जाँच्नुहोस्।

यदि कुनै उम्मेदवारले दोस्रो प्रश्नको उत्तर तपाईंले पढ्न सक्ने नियमले दिन सक्दैन भने त्यो तपाईंले चाहेको सीमा होइन, बाँकी सबै जति राम्रो गरे पनि। हो भन्नेको सट्टा नियमको पाठ माग्नुहोस् र अस्पष्ट उत्तरलाई होइन ठान्नुहोस्।

मार्गलाई क्याप्चरले प्रमाणित गर्नुहोस्, चित्रले होइन

चित्रले मनसाय बताउँछ र क्याप्चरले व्यवहार, त्यसैले कुनै एकलाई विश्वास गर्नुअघि कुन इन्टरफेसले ESP र कुनले भित्री प्रवाह बोक्छ भनी पुष्टि गर्नुहोस्।

tcpdump -ni wan0 esp
tcpdump -ni lan0 host 10.60.4.20
ip xfrm policy list

यदि पहिलो क्याप्चरले ESP आउँदै गरेको देखाउँछ र दोस्रोले भित्री प्याकेट LAN पट्टिमा देखाउँछ भने, डिक्रिप्शन बिन्दु तपाईंले सोचेकै ठाउँमा छ। यदि भित्री प्याकेट फायरवाललाई वाइपास गर्ने खण्डमा देखिन्छ भने रुटिङ गलत छ, नीतिको पाठ जे भने पनि। xfrm सूचीले त्यसपछि कुन चयनकर्ता स्थापित छन् र कुन दिशामा छन् देखाउँछ।

फर्कने मार्गमा क्याप्चर दोहोर्याउनुहोस्, किनकि कुनै साइटका दुई सम्भावित निकास हुँदा असममित रुटिङ सामान्य हुन्छ। एउटा दिशामा काम गर्ने र अर्कोमा समय सकिने सुरुङ प्रायः यही हुन्छ, र अर्को पक्षको कुनै पनि नीति सम्पादनले यसलाई सुधार्दैन।