Onde o seu VPN de site termina decide o que é inspecionado

Um túnel entre sites esconde um detalhe que decide todo o projeto de inspeção: o dispositivo exato onde o pacote interno aparece em claro. Tudo antes desse ponto vê ESP, e tudo depois vê IP comum que uma regra consegue identificar. Coloque a fronteira no lugar errado e o firewall que você pagou vira um roteador com licença. O roteiro abaixo traça a linha primeiro e só então pergunta qual equipamento deve assumi-la.

Trace a linha onde o pacote deixa de estar criptografado

No modo túnel, o pacote original é criptografado e envolvido em um novo cabeçalho IP externo endereçado ao gateway par. Esse pacote externo carrega o protocolo 50 para ESP, então qualquer dispositivo entre os dois gateways pode encaminhá-lo sem ler os endereços internos. O primeiro dispositivo que descriptografa é a fronteira de segurança, e também é o primeiro que pode aplicar política ao fluxo interno. Tudo a jusante desse ponto é roteamento comum.

Marque três coisas no desenho: o endpoint externo que admite ESP, as redes protegidas nomeadas na política, e o próximo salto que o pacote descriptografado percorre. Se essas três coisas não estiverem no mesmo dispositivo, você tem uma passagem para projetar em vez de um único ponto de controle.

A RFC 4301 chama o dispositivo que descriptografa de gateway de segurança e trata sua política como parte da fronteira. É um enquadramento mais útil do que a categoria de produto, porque um dispositivo é fronteira quando detém a política, não quando a ficha técnica diz firewall.

Firewall como terminação: um dispositivo, um ponto de política

Quando o firewall termina o túnel, o roteador a montante só precisa entregar ESP a ele. O firewall autentica o par, descriptografa e então aplica suas regras normais ao pacote interno no caminho para a VLAN de servidores. Isso dá um só lugar para ler a política e um só lugar para ler os logs, que é o que uma auditoria costuma pedir.

Verifique as duas permissões separadamente. Permitir IKE e ESP até o equipamento não é a mesma regra que permitir que um site remoto alcance um servidor, e um firewall que aceita o túnel e bloqueia o fluxo interno parece exatamente um túnel quebrado visto da ponta remota.

O custo é que o firewall agora fica no caminho de todo o tráfego de site, então sua taxa de transferência, seus limites de sessão e seu comportamento de failover passam a ser o comportamento do próprio túnel. Dimensione-o para os fluxos de site combinados, e não para o perfil de acesso remoto para o qual ele talvez tenha sido comprado.

Roteador como terminação: o salto de inspeção passa a ser opcional

Quando o roteador descriptografa, o pacote já está em claro quando chega à tabela de roteamento. Se um firewall separado deve inspecionar esse tráfego, o roteador precisa enviá-lo pelo firewall e o caminho de volta precisa retornar da mesma forma. Uma rota direta do roteador para a VLAN de servidores remove o firewall do caminho sem alarde, deixando-o no diagrama.

Essa é a falha a procurar em uma rede existente: duas rotas para o mesmo prefixo, uma pelo firewall e outra direta, com a direta vencendo por tamanho de prefixo ou métrica. O túnel continua passando tráfego e a inspeção em que você acredita não acontece.

Túneis baseados em rotas tornam isso visível, porque o túnel é uma interface pela qual você pode rotear através de outro dispositivo. Túneis baseados em políticas selecionam o tráfego por seletor, o que pode deixar o pacote descriptografado no roteador sem outro destino.

Faça as mesmas cinco perguntas aos dois candidatos

Uma folha de trabalho curta vale mais que uma matriz de recursos, porque cada pergunta corresponde a uma linha do desenho. Pergunte a cada candidato:

• Quais versões de IKE, quais métodos de autenticação de pares e quais modelos de roteamento esta versão realmente suporta?
• Onde o ESP é admitido e onde o fluxo descriptografado é permitido ou negado?
• Como os hosts locais aprendem os prefixos remotos e como o lado remoto aprende os seus?
• Que taxa de transferência, contagem de sessões e comportamento de failover o endpoint precisa sustentar para a carga real?
• Quem é responsável pelas credenciais dos pares, pela política e pelo caminho de recuperação quando o problema é o próprio túnel?

O pfSense documenta IPsec baseado em políticas e IPsec baseado em rotas como modelos separados com restrições separadas, e essa diferença importa mais que o rótulo na caixa. Verifique o modo exato e a filtragem suportada do tráfego descriptografado na versão que você realmente implantaria.

Se um candidato não consegue responder à segunda pergunta com uma regra que você possa ler, ele não é a fronteira que você quer, por melhor que seja no resto. Peça o texto da regra em vez de um sim, e trate uma resposta vaga como um não.

Verifique o caminho com uma captura, não com o diagrama

Um diagrama descreve a intenção e uma captura descreve o comportamento, então confirme qual interface carrega ESP e qual carrega o fluxo interno antes de confiar em qualquer um dos dois.

tcpdump -ni wan0 esp
tcpdump -ni lan0 host 10.60.4.20
ip xfrm policy list

Se a primeira captura mostra ESP chegando e a segunda mostra o pacote interno no lado LAN, o ponto de descriptografia é onde você pensa. Se o pacote interno aparece em um segmento que contorna o firewall, o roteamento está errado, diga o que disser o texto da política. A listagem do xfrm então mostra quais seletores estão instalados e em que direção.

Repita a captura no caminho de volta, porque o roteamento assimétrico é comum quando um site tem duas saídas possíveis. Um túnel que funciona em uma direção e expira na outra é quase sempre isso, e nenhuma edição de política no lado remoto vai corrigir.