Hvor site-VPN-en din avsluttes avgjør hva som blir inspisert

En tunnel mellom nettsteder skjuler en detalj som avgjør hele inspeksjonsdesignet: den nøyaktige enheten der den indre pakken vises i klartekst. Alt før det punktet ser ESP, og alt etter det ser vanlig IP som en regel kan matche. Setter du grensen på feil sted, blir brannmuren du betalte for en ruter med lisens. Gjennomgangen nedenfor trekker linjen først og spør først deretter hvilken boks som skal eie den.

Tegn linjen der pakken ikke lenger er kryptert

I tunnellmodus krypteres den opprinnelige pakken og pakkes inn i et nytt ytre IP-hode adressert til peer-gatewayen. Den ytre pakken bærer protokoll 50 for ESP, slik at enhver enhet mellom de to gatewayene kan rute den uten å lese de indre adressene. Den første enheten som dekrypterer, er sikkerhetsgrensen, og den er også den første enheten som kan anvende policy på den indre strømmen. Alt nedstrøms for det punktet er vanlig ruting.

Merk tre ting på tegningen: endepunktet utenfor som slipper ESP inn, de beskyttede nettene som er navngitt i policyen, og neste hopp som den dekrypterte pakken tar. Hvis de tre ikke er på samme enhet, har du en overlevering å designe i stedet for ett enkelt kontrollpunkt.

RFC 4301 kaller den dekrypterende enheten en sikkerhetsgateway og behandler policyen dens som en del av grensen. Det er en mer nyttig ramme enn produktkategorien, fordi en enhet er en grense når den holder policyen, ikke når databladet sier brannmur.

Brannmur som endepunkt: én enhet, ett policypunkt

Når brannmuren avslutter tunnelen, trenger ruteren oppstrøms bare å levere ESP til den. Brannmuren autentiserer peeren, dekrypterer og bruker deretter de vanlige reglene sine på den indre pakken på vei til server-VLAN-et. Det gir ett sted å lese policy og ett sted å lese logger, som vanligvis er det en revisjon ber om.

Kontroller de to tillatelsene hver for seg. Å tillate IKE og ESP til enheten er ikke samme regel som å tillate et eksternt nettsted å nå en server, og en brannmur som godtar tunnelen mens den blokkerer den indre strømmen, ser nøyaktig ut som en ødelagt tunnel fra den andre enden.

Prisen er at brannmuren nå ligger på veien for all trafikk mellom nettstedene, slik at gjennomstrømning, sesjonsgrenser og failover-atferd blir atferden til selve tunnelen. Dimensjoner den for de kombinerte nettstedstrømmene og ikke for profilen for ekstern tilgang som den kanskje ble kjøpt for.

Ruter som endepunkt: inspeksjonshoppet blir valgfritt

Når ruteren dekrypterer, er pakken allerede i klartekst når den når rutetabellen. Hvis en separat brannmur skal inspisere trafikken, må ruteren sende den gjennom brannmuren, og returveien må komme tilbake samme vei. En direkte rute fra ruteren til server-VLAN-et fjerner stille brannmuren fra veien mens den blir stående på tegningen.

Det er feilen du skal se etter i et eksisterende nettverk: to ruter til samme prefiks, én gjennom brannmuren og én direkte, der den direkte vinner på prefikslengde eller metrikk. Tunnelen slipper fortsatt trafikk gjennom, og inspeksjonen du tror på skjer ikke.

Rutebaserte tunneler gjør dette synlig, fordi tunnelen er et grensesnitt du kan rute gjennom en annen enhet. Policybaserte tunneler velger trafikk med selector, noe som kan la den dekrypterte pakken bli liggende på ruteren uten andre steder å gå.

Still begge kandidatene de samme fem spørsmålene

Et kort arbeidsark slår en funksjonsmatrise, fordi hvert spørsmål svarer til en linje på tegningen. Spør hver kandidat:

• Hvilke IKE-versjoner, peer-autentiseringsmetoder og rutingsmodeller støtter denne versjonen faktisk?
• Hvor slippes ESP inn, og hvor tillates eller nektes den dekrypterte strømmen?
• Hvordan lærer lokale verter de eksterne prefiksene, og hvordan lærer den andre siden dine?
• Hvilken gjennomstrømning, hvor mange sesjoner og hvilken failover-atferd må endepunktet tåle for den virkelige arbeidslasten?
• Hvem eier peer-legitimasjonen, policyen og gjenopprettingsveien når tunnelen er det som er ødelagt?

pfSense dokumenterer policybasert og rutebasert IPsec som separate modeller med separate begrensninger, og den forskjellen betyr mer enn etiketten på boksen. Kontroller den nøyaktige modusen og den støttede filtreringen av dekryptert trafikk i versjonen du faktisk ville rulle ut.

Hvis en kandidat ikke kan svare på det andre spørsmålet med en regel du kan lese, er det ikke grensen du vil ha, uansett hvor bra den gjør alt annet. Be om regelteksten i stedet for et ja, og behandle et vagt svar som et nei.

Verifiser veien med en avlytting, ikke med tegningen

En tegning beskriver hensikten og en avlytting beskriver atferden, så bekreft hvilket grensesnitt som bærer ESP og hvilket som bærer den indre strømmen før du tror på noen av dem.

tcpdump -ni wan0 esp
tcpdump -ni lan0 host 10.60.4.20
ip xfrm policy list

Hvis den første avlyttingen viser ESP som kommer inn og den andre viser den indre pakken på LAN-siden, er dekrypteringspunktet der du tror. Hvis den indre pakken dukker opp på et segment som omgår brannmuren, er rutingen feil, uansett hva policyteksten sier. xfrm-listen viser da hvilke selectorer som er installert og i hvilken retning.

Gjenta avlyttingen på returveien, fordi asymmetrisk ruting er vanlig når et nettsted har to mulige utganger. En tunnel som fungerer i én retning og får tidsavbrudd i den andre, er nesten alltid dette, og ingen redigering av policyen på den andre siden retter det.