Kvar VPN-en til nettstaden din endar avgjer kva som blir granska

Eininga som dekrypterer trafikk mellom nettstader avgjer kva brannmuren framleis kan granska. Teikn grensa fyrst, og vel deretter ein ruttar eller ein brannmur.

Ein tunnel mellom nettstader gøymer ein detalj som avgjer heile granskingsdesignen: den nøyaktige eininga der den indre pakken blir synleg som klartekst. Alt før dette punktet ser ESP, og alt etter det ser vanleg IP som ei regel kan fanga. Set grensa på feil stad og brannmuren du betalte for blir ein ruttar med lisens. Gjennomgangen nedanfor teiknar linja fyrst og spør deretter kva eining som bør eiga ho.

Teikn linja der pakken sluttar å vere kryptert

I tunnelmodus blir den opphavlege pakken kryptert og pakka inn i ein ny ytre IP-hovuddel som er adressert til partnarporen. Denne ytre pakken ber protokoll 50 for ESP, så kvar eining mellom dei to portane kan rute han utan å lese dei indre adressene. Den fyrste eininga som dekrypterer er tryggleiksgrensa, og ho er også den fyrste eininga som kan bruke politikk på den indre straumen. Alt nedanfor dette punktet er vanleg ruting.

Merk tre ting på teikninga: den ytre endepunktet som tek imot ESP, dei verna netta som er nemnde i politikken, og det neste hoppet som den dekrypterte pakken tek. Viss desse tre ikkje er på same eining, har du ei overlevering som må designast, ikkje eitt kontrollpunkt.

RFC 4301 kallar eininga som dekrypterer ein tryggleiksport og handsamar politikken hennar som ein del av grensa. Dette er eit nyttigare rammeverk enn produktkategorien, fordi ei eining er ei grense når ho held på politikken, ikkje når databladet hennar seier brannmur.

Brannmur som endepunkt: éi eining, eitt politikkpunkt

Når brannmuren avsluttar tunnelen, treng ruttaren ovanfor berre å levere ESP til han. Brannmuren stadfester partnaren, dekrypterer og brukar deretter dei vanlege reglane sine på den indre pakken på veg til tenar-VLAN-et. Dette gjev ein stad å lese politikk og ein stad å lese loggar, noko ein revisjon vanlegvis krev.

Kontroller dei to løyva kvar for seg. Å tillate IKE og ESP til eininga er ikkje same regelen som å tillate ein fjern nettstad å nå ein tenar, og ein brannmur som tek imot tunnelen medan han blokkerer den indre straumen ser frå den andre enden nøyaktig ut som ein øydelagd tunnel.

Kostnaden er at brannmuren no ligg på vegen til all trafikk frå nettstaden, så gjennomstrøyminga, sesjonsgrensene og åtferda ved feil blir åtferda til tunnelen sjølv. Dimensjoner han for dei samanslåtte straumane frå nettstaden, ikkje for fjernåtkomstprofilen han kanskje vart kjøpt for.

Ruttar som endepunkt: granskingshoppet blir valfritt

Når ruttaren dekrypterer, er pakken allereie open når han når rutetabellen. Viss ein separat brannmur skal granske denne trafikken, må ruttaren sende han gjennom brannmuren, og returvegen må kome same vegen tilbake. Ein direkte rute frå ruttaren til tenar-VLAN-et fjernar brannmuren frå vegen i det stille, men lèt han stå på teikninga.

Dette er feilen ein skal leite etter i eit eksisterande nett: to ruter til same prefiks, éi gjennom brannmuren og éi direkte, og den direkte vinn på prefikslengd eller metrikk. Tunnelen slepp framleis trafikk gjennom, og granskinga du trur på skjer ikkje.

Rutebaserte tunnellar gjer dette synleg, fordi tunnelen er eit grensesnitt du kan rute gjennom ei anna eining. Politikkbaserte tunnellar vel trafikk med ein veljar, noko som kan la den dekrypterte pakken bli liggjande på ruttaren utan nokon annan stad å gå.

Spør båe kandidatane om dei same fem spørsmåla

Eit kort arbeidsark slår ein funksjonsmatrise, fordi kvart spørsmål svarar til éi linje på teikninga. Spør kvar kandidat:

  • Kva IKE-versjonar, kva metodar for partnarpålogging og kva rutemodellar støttar denne utgåva faktisk?
  • Kvar blir ESP sleppt inn, og kvar er den dekrypterte straumen tillaten eller avvist?
  • Korleis lærer lokale vertar dei fjerne prefiksa, og korleis lærer den andre sida dine?
  • Kva gjennomstrøyming, kor mange sesjonar og kva åtferd ved feil må endepunktet tole for den verkelege arbeidslasta?
  • Kven eig partnarpålogginga, politikken og gjenopprettingsvegen når tunnelen er det som er øydelagt?

pfSense dokumenterer politikkbasert og rutebasert IPsec som separate modellar med separate avgrensingar, og denne skilnaden tel meir enn etiketten på boksen. Kontroller den nøyaktige modusen og den støtta filtreringa av dekryptert trafikk i utgåva du verkeleg ville setje i drift.

Viss ein kandidat ikkje kan svare på det andre spørsmålet med ein regel du kan lese, er det ikkje grensa du vil ha, same kor godt han gjer alt anna. Be om teksten i regelen i staden for eit ja, og handsam eit uklårt svar som eit nei.

Stadfest vegen med ei opptaking, ikkje med teikninga

Ei teikning skildrar intensjonen og ei opptaking skildrar åtferda, så stadfest kva grensesnitt som ber ESP og kva som ber den indre straumen før du trur på nokon av dei.

tcpdump -ni wan0 esp
tcpdump -ni lan0 host 10.60.4.20
ip xfrm policy list

Viss den fyrste opptakinga syner ESP som kjem og den andre syner den indre pakken på LAN-sida, er dekrypteringspunktet der du trur. Viss den indre pakken dukkar opp på eit segment som går utanom brannmuren, er rutinga feil, kva politikken enn seier. xfrm-lista syner då kva veljarar som er installerte og i kva retning.

Gjenta opptakinga på returvegen, fordi asymmetrisk ruting er vanleg når ein nettstad har to moglege utgangar. Ein tunnel som verkar i éi retning og går ut på tid i den andre er nesten alltid dette, og inga endring av politikken på den andre sida rettar det.

Relaterte artiklar