IPsec mellom to vertar: kvar vernet byrjar og kvar det sluttar

Vern på eit vertspar byrjar der tryggleiksassosiasjonen sluttar, og det er det faktumet som intuisjon forma av gatewayar oftast overser. Ein applikasjonsserver og databaseserveren hans kan verne si eiga samtale direkte, utan nokon fjernakseskonsentrator i vegen, og vernetgrensa ligg då inne i kvar vert i staden for i ein brannmur. Det dette gjev deg, er dekning frå ende til ende for utvalde flytar. Det det ikkje gjev deg, er ei avgjerd om kven som kan lese kva rad.

Grensa er der SA-en sluttar

RFC 4301 skildrar tryggleiksassosiasjonar i transportmodus som ordninga som vanlegvis blir brukt mellom eit vertspar for vern frå ende til ende. Desse to vertane held nøklane, og kvar av dei avgjer kva av sine eigne pakkar som går inn i assosiasjonen. Ein gatewaytunnel sluttar heilt andre stader og når verten gjennom eit ekstra internt segment, noko som er ei anna tillitsgrense sjølv når pakken er kryptert store delar av reisa.

Vert-til-vert og transportmodus er likevel ikkje synonym. To vertar kan like riktig byggje ein assosiasjon i tunnelmodus mellom seg, så vel modusen først og skildre deretter endepunkta. Skriv begge i designnotatet ved sida av peer-adressene, fordi ein gjennomlesar som berre kjenner modusen vil anta den andre.

SPD-en avgjer vernet, ruta avgjer retninga

Ein rutetabell svarar på kvar ein pakke går. Databasen for tryggleikspolicy svarar på korleis den utvalde trafikken kryssar vernetgrensa, og han gjer det per retning med sine eigne selektorar. Denne delinga er grunnen til at ei fungerande rute til databasen ikkje beviser noko om kvidt førespurnaden var verna, og til at ein etablert forhandling ikkje beviser noko om kvidt nettopp denne applikasjonen samsvarte med han. Samanlikn selektorane før du samanliknar teljarane, sidan teljarane berre skildrar flytane som kom så langt.

På Linux skriv ip xfrm policy ut desse oppføringane med retning, prioritet, selektor og handlinga tillat, blokker eller fang, medan ip xfrm state viser assosiasjonane som blir resultatet og teljarane deira. Å lese dei to saman er måten du finn flyten som stille gjekk utanom tunnelen fordi ein breiare tillat-oppføring samsvarte først.

Prioritetsrekkjefølgje er ein del av retningslinja, ikkje ein implementasjonsdetalj. Ein smal oppføring som skulle verne databaseporten tapar mot ein breiare oppføring med høgare prioritet, og feilen ser ut som om retningslinja aldri vart konsultert.

Transportmodus dekkjer neste lag, ikkje IP-headeren

I transportmodus sit ESP-headeren mellom IP-headeren og nyttelasta, og adressefelta i den headeren blir verande synlege for kvar eining på vegen. Det er greitt når adressene ikkje er hemmelegheita og nyttelasta er det. Det er feil val om du òg må skjule den interne topologien, fordi berre tunnelmodus pakkar den opphavlege headeren inn i ein ny.

Begge modusane kan bere fleire protokollar på neste lag, og ESP vernar det selektoren samsvarar med i staden for alt verten sender.

Utvalet er smalare enn sambandet

Ein einaste assosiasjon kan bere fleire flytar, men berre dei retningslinja vel ut. Registrer peer-identitetane, kjelde- og destinasjonsadressene, protokollen og tenesteomfanget for forholdet du har tenkt, og avgjer deretter separat om trafikk som ikkje samsvarar kan gå i klartekst, må vernast, eller må forkastast når assosiasjonen ikkje er tilgjengeleg. Den siste avgjerda er den som gjev overraskingar, fordi ein regel som krev vern for feil kjelde kan blokkere din eigen administrasjonstilgang like effektivt som han blokkerer ein inntrengjar.

Hald ein godkjend utanforband-sti medan du endrar handhevinga, og test han før du treng han i staden for etter at begge vertane er blitt utilgjengelege.

Maskinidentitet er ikkje applikasjonstillating

IPsec autentiserer ein konfigurert peer og vernar utvalde pakkar. Det avgjer ikkje kva databaserad ein person kan redigere, og det gjer ikkje ein klarert serveridentitet om til ei tildeling av alle applikasjonsrettar. Applikasjonskontoar, roller og autorisasjon blir nøyaktig der dei var, og eit TLS-krav på applikasjonsnivå behald sitt eige føremål sjølv når nettverksvegen allereie er verna.

Godta designet med éin operasjon frå den tiltenkte kjelda og éin som må avvisast, og ta med kva som skjer når den påkravde assosiasjonen ikkje kan etablerast. Ein vanleg tilgjengelegheitstest fortel deg at pakkar flyttar seg; han fortel deg ikkje at dei flytta seg under retningslinja du skreiv.