Gdzie kończy się VPN Twojej witryny, decyduje o tym, co jest kontrolowane

Tunel między witrynami ukrywa szczegół, który decyduje o całym projekcie kontroli: dokładne urządzenie, na którym pakiet wewnętrzny pojawia się jawnym tekstem. Wszystko przed tym punktem widzi ESP, a wszystko po nim widzi zwykły IP, który reguła może dopasować. Ustaw granicę w złym miejscu, a zapora, za którą zapłaciłeś, staje się routerem z licencją. Poniższy opis najpierw rysuje linię, a dopiero potem pyta, które urządzenie powinno ją posiadać.

Narysuj linię tam, gdzie pakiet przestaje być szyfrowany

W trybie tunelu oryginalny pakiet jest szyfrowany i opakowywany w nowy zewnętrzny nagłówek IP adresowany do bramy partnera. Ten zewnętrzny pakiet niesie protokół 50 dla ESP, więc każde urządzenie między dwiema bramami może go trasować bez czytania adresów wewnętrznych. Pierwsze urządzenie, które odszyfrowuje, jest granicą bezpieczeństwa i jednocześnie pierwszym urządzeniem, które może zastosować politykę do wewnętrznego przepływu. Wszystko poniżej tego punktu to zwykłe trasowanie.

Zaznacz na rysunku trzy rzeczy: zewnętrzny punkt końcowy, który wpuszcza ESP, chronione sieci wymienione w polityce, oraz następny skok, który wykonuje odszyfrowany pakiet. Jeśli te trzy rzeczy nie są na tym samym urządzeniu, masz do zaprojektowania przekazanie, a nie jeden punkt kontroli.

RFC 4301 nazywa odszyfrowujące urządzenie bramą bezpieczeństwa i traktuje jego politykę jako część granicy. To użyteczniejsze ramy niż kategoria produktu, bo urządzenie jest granicą wtedy, gdy ma politykę, a nie wtedy, gdy jego karta danych mówi zapora.

Zapora jako zakończenie: jedno urządzenie, jeden punkt polityki

Gdy zapora kończy tunel, router powyżej musi tylko dostarczyć jej ESP. Zapora uwierzytelnia partnera, odszyfrowuje, a następnie stosuje swoje zwykłe reguły do pakietu wewnętrznego w drodze do VLAN serwerów. Daje to jedno miejsce do czytania polityki i jedno miejsce do czytania logów, czego zwykle wymaga audyt.

Sprawdź oba uprawnienia osobno. Zezwolenie na IKE i ESP do urządzenia to nie ta sama reguła co zezwolenie zdalnej witrynie na dotarcie do serwera, a zapora, która akceptuje tunel, blokując przepływ wewnętrzny, wygląda z drugiego końca dokładnie jak zepsuty tunel.

Koszt polega na tym, że zapora leży teraz na drodze całego ruchu witryny, więc jej przepustowość, limity sesji i zachowanie przy przełączaniu awaryjnym stają się zachowaniem samego tunelu. Dobierz ją do połączonych przepływów witryny, a nie do profilu dostępu zdalnego, dla którego może została kupiona.

Router jako zakończenie: skok kontroli staje się opcjonalny

Gdy router odszyfrowuje, pakiet jest już jawny, kiedy dociera do tablicy trasowania. Jeśli osobna zapora ma kontrolować ten ruch, router musi wysłać go przez zaporę, a ścieżka powrotna musi wrócić tą samą drogą. Bezpośrednia trasa od routera do VLAN serwerów po cichu usuwa zaporę ze ścieżki, zostawiając ją na rysunku.

To jest awaria, której szukać w istniejącej sieci: dwie trasy do tego samego prefiksu, jedna przez zaporę, a druga bezpośrednia, przy czym bezpośrednia wygrywa długością prefiksu lub metryką. Tunel nadal przepuszcza ruch, a kontrola, w którą wierzysz, nie następuje.

Tunele oparte na trasach czynią to widocznym, bo tunel jest interfejsem, przez który można trasować przez inne urządzenie. Tunele oparte na politykach wybierają ruch selektorem, co może zostawić odszyfrowany pakiet na routerze bez innego miejsca docelowego.

Zadaj obu kandydatom te same pięć pytań

Krótka karta pracy bije macierz funkcji, bo każde pytanie odpowiada jednej linii na rysunku. Zapytaj każdego kandydata:

• Które wersje IKE, jakie metody uwierzytelniania partnerów i modele trasowania ta wersja faktycznie obsługuje?
• Gdzie ESP jest wpuszczany, a gdzie odszyfrowany przepływ jest dozwolony lub zabroniony?
• Jak lokalne hosty poznają prefiksy zdalne, a jak druga strona poznaje Twoje?
• Jaką przepustowość, liczbę sesji i zachowanie przy przełączaniu awaryjnym musi wytrzymać punkt końcowy dla rzeczywistego obciążenia?
• Kto odpowiada za poświadczenia partnera, politykę i ścieżkę odzyskiwania, gdy to tunel jest zepsutą rzeczą?

pfSense dokumentuje IPsec oparty na politykach i IPsec oparty na trasach jako osobne modele z osobnymi ograniczeniami, a ta różnica znaczy więcej niż etykieta na pudełku. Sprawdź dokładny tryb i obsługiwane filtrowanie odszyfrowanego ruchu w wersji, którą naprawdę wdrożysz.

Jeśli kandydat nie umie odpowiedzieć na drugie pytanie regułą, którą możesz przeczytać, to nie jest granica, której chcesz, niezależnie od tego, jak dobrze robi wszystko inne. Poproś o treść reguły zamiast potwierdzenia, a niejasną odpowiedź potraktuj jak odmowę.

Sprawdź ścieżkę przechwyceniem, a nie rysunkiem

Rysunek opisuje zamiar, a przechwycenie opisuje zachowanie, więc potwierdź, który interfejs niesie ESP, a który przepływ wewnętrzny, zanim zaufasz któremukolwiek z nich.

tcpdump -ni wan0 esp
tcpdump -ni lan0 host 10.60.4.20
ip xfrm policy list

Jeśli pierwsze przechwycenie pokazuje nadchodzący ESP, a drugie pokazuje pakiet wewnętrzny po stronie LAN, punkt odszyfrowania jest tam, gdzie myślisz. Jeśli pakiet wewnętrzny pojawia się w segmencie, który omija zaporę, trasowanie jest błędne, cokolwiek mówi tekst polityki. Lista xfrm pokazuje wtedy, które selektory są zainstalowane i w jakim kierunku.

Powtórz przechwycenie na ścieżce powrotnej, bo asymetryczne trasowanie jest częste, gdy witryna ma dwa możliwe wyjścia. Tunel, który działa w jednym kierunku, a w drugim kończy się przekroczeniem czasu, prawie zawsze jest tym przypadkiem, i żadna zmiana polityki po drugiej stronie tego nie naprawi.