Waar uw site-VPN eindigt, bepaalt wat er wordt geïnspecteerd

Een site-to-sitetunnel verbergt één detail dat het hele inspectieontwerp bepaalt: het exacte apparaat waarop het binnenste pakket in klare tekst verschijnt. Alles vóór dat punt ziet ESP, en alles erna ziet gewone IP die een regel kan matchen. Zet de grens op de verkeerde plek en de firewall waarvoor u hebt betaald, wordt een router met een licentie. De onderstaande uiteenzetting trekt eerst de lijn en vraagt pas daarna welk apparaat die moet bezitten.

Trek de grens waar het pakket niet langer versleuteld is

In tunnelmodus wordt het oorspronkelijke pakket versleuteld en verpakt in een nieuwe buitenste IP-header die aan de peergateway is geadresseerd. Dat buitenste pakket draagt protocol 50 voor ESP, zodat elk apparaat tussen de twee gateways het kan routeren zonder de binnenste adressen te lezen. Het eerste apparaat dat ontsleutelt, is de beveiligingsgrens, en het is ook het eerste apparaat dat beleid op de binnenste stroom kan toepassen. Alles stroomafwaarts van dat punt is gewoon routering.

Markeer drie dingen op de tekening: het externe eindpunt dat ESP toelaat, de in het beleid genoemde beschermde netwerken, en de volgende hop die het ontsleutelde pakket neemt. Als die drie niet op hetzelfde apparaat staan, hebt u een overdracht te ontwerpen in plaats van één controlepost.

RFC 4301 noemt het ontsleutelende apparaat een security gateway en behandelt zijn beleid als deel van de grens. Dat is een bruikbaarder kader dan de productcategorie, want een apparaat is een grens wanneer het het beleid bezit, niet wanneer op zijn datasheet firewall staat.

Firewall als eindpunt: één apparaat, één beleidspunt

Wanneer de firewall de tunnel beëindigt, hoeft de upstream router ESP alleen nog maar bij hem af te leveren. De firewall authenticeert de peer, ontsleutelt en past vervolgens zijn normale regels toe op het binnenste pakket op weg naar de server-VLAN. Dat geeft één plek om beleid te lezen en één plek om logboeken te lezen, wat een audit doorgaans vraagt.

Controleer de twee machtigingen apart. IKE en ESP naar het apparaat toestaan is niet dezelfde regel als toestaan dat een externe locatie een server bereikt, en een firewall die de tunnel accepteert terwijl hij de binnenste stroom blokkeert, ziet er vanaf de andere kant precies uit als een kapotte tunnel.

De prijs is dat de firewall nu op het pad ligt voor al het locatieverkeer, zodat zijn doorvoer, sessielimieten en failovergedrag het gedrag van de tunnel zelf worden. Dimensioneer hem voor de gecombineerde locatiestromen en niet voor het profiel voor externe toegang waarvoor hij misschien is gekocht.

Router als eindpunt: de inspectiehop wordt optioneel

Wanneer de router ontsleutelt, is het pakket al in klare tekst wanneer het de routingtabel bereikt. Als een aparte firewall dat verkeer moet inspecteren, moet de router het door de firewall sturen en moet het retourpad dezelfde weg terugkomen. Een directe route van de router naar de server-VLAN haalt de firewall stilletjes van het pad terwijl hij op de tekening blijft staan.

Dat is de fout waar u in een bestaand netwerk naar moet zoeken: twee routes naar hetzelfde prefix, één via de firewall en één direct, waarbij de directe wint op prefixlengte of metriek. De tunnel blijft verkeer doorlaten en de inspectie waarin u gelooft, gebeurt niet.

Routgebaseerde tunnels maken dit zichtbaar, omdat de tunnel een interface is waar u via een ander apparaat naartoe kunt routeren. Beleidsgebaseerde tunnels selecteren verkeer op selector, wat het ontsleutelde pakket op de router kan achterlaten zonder andere bestemming.

Stel beide kandidaten dezelfde vijf vragen

Een kort werkblad verslaat een functiematrix, omdat elke vraag overeenkomt met een lijn op de tekening. Vraag elke kandidaat:

• Welke IKE-versies, methoden voor peerauthenticatie en routeringsmodellen ondersteunt deze release werkelijk?
• Waar wordt ESP toegelaten, en waar wordt de ontsleutelde stroom toegestaan of geweigerd?
• Hoe leren lokale hosts de externe prefixen, en hoe leert de andere kant de uwe?
• Welke doorvoer, welk sessieaantal en welk failovergedrag moet het eindpunt voor de echte werklast volhouden?
• Wie is eigenaar van de peerreferenties, het beleid en het herstelpad wanneer de tunnel het kapotte ding is?

pfSense documenteert beleidsgebaseerde en routgebaseerde IPsec als afzonderlijke modellen met afzonderlijke beperkingen, en dat verschil telt zwaarder dan het label op de doos. Controleer de exacte modus en de ondersteunde filtering van ontsleuteld verkeer in de release die u werkelijk zou uitrollen.

Als een kandidaat de tweede vraag niet kan beantwoorden met een regel die u kunt lezen, is hij niet de grens die u wilt, wat hij verder ook goed doet. Vraag om de regeltekst in plaats van om een ja, en behandel een vaag antwoord als een nee.

Verifieer het pad met een capture, niet met de tekening

Een tekening beschrijft de bedoeling en een capture beschrijft het gedrag, dus bevestig welke interface ESP draagt en welke de binnenste stroom draagt voordat u een van beide vertrouwt.

tcpdump -ni wan0 esp
tcpdump -ni lan0 host 10.60.4.20
ip xfrm policy list

Als de eerste capture laat zien dat ESP aankomt en de tweede het binnenste pakket aan de LAN-zijde toont, zit het ontsleutelpunt waar u denkt. Als het binnenste pakket op een segment verschijnt dat de firewall omzeilt, is de routering fout, wat de beleidstekst ook zegt. De xfrm-lijst laat dan zien welke selectors zijn geïnstalleerd en in welke richting.

Herhaal de capture op het retourpad, want asymmetrische routering komt vaak voor wanneer één locatie twee mogelijke uitgangen heeft. Een tunnel die in één richting werkt en in de andere een time-out geeft, is bijna altijd dit, en geen enkele beleidswijziging aan de andere kant lost het op.