Unde se termină VPN-ul site-ului dumneavoastră decide ce este inspectat

Un tunel între site-uri ascunde un detaliu care decide întregul proiect de inspecție: dispozitivul exact unde pachetul interior apare în clar. Tot ce este înaintea acelui punct vede ESP, iar tot ce este după el vede IP obișnuit pe care o regulă îl poate potrivi. Puneți granița în locul greșit și firewallul pentru care ați plătit devine un router cu licență. Parcurgerea de mai jos trasează mai întâi linia și abia apoi întreabă ce echipament ar trebui să o dețină.

Trasați linia acolo unde pachetul nu mai este criptat

În modul tunel, pachetul original este criptat și învelit într-un nou antet IP exterior adresat gateway-ului partener. Acest pachet exterior transportă protocolul 50 pentru ESP, astfel încât orice dispozitiv dintre cele două gateway-uri îl poate ruta fără a citi adresele interioare. Primul dispozitiv care descifrează este granița de securitate și este totodată primul care poate aplica politică fluxului interior. Tot ce se află în aval de acel punct este rutare obișnuită.

Marcați trei lucruri pe desen: punctul final extern care admite ESP, rețelele protejate numite în politică, și următorul salt pe care îl face pachetul descifrat. Dacă aceste trei nu sunt pe același dispozitiv, aveți o predare de proiectat, nu un singur punct de control.

RFC 4301 numește dispozitivul care descifrează gateway de securitate și tratează politica acestuia ca parte a graniței. Este un cadru mai util decât categoria de produs, pentru că un dispozitiv este graniță atunci când deține politica, nu atunci când fișa tehnică spune firewall.

Firewall ca terminație: un dispozitiv, un punct de politică

Când firewallul termină tunelul, routerul din amonte trebuie doar să îi livreze ESP. Firewallul autentifică partenerul, descifrează și apoi aplică regulile sale obișnuite pachetului interior pe drumul spre VLAN-ul serverelor. Astfel există un singur loc pentru citirea politicii și un singur loc pentru citirea jurnalelor, ceea ce un audit cere de obicei.

Verificați separat cele două permisiuni. A permite IKE și ESP către echipament nu este aceeași regulă cu a permite unui site îndepărtat să ajungă la un server, iar un firewall care acceptă tunelul blocând fluxul interior arată exact ca un tunel rupt de la capătul îndepărtat.

Costul este că firewallul stă acum pe calea întregului trafic al site-ului, așa că debitul, limitele de sesiune și comportamentul de comutare la eroare devin comportamentul tunelului însuși. Dimensionați-l pentru fluxurile combinate ale site-ului, nu pentru profilul de acces la distanță pentru care poate a fost cumpărat.

Router ca terminație: saltul de inspecție devine opțional

Când routerul descifrează, pachetul este deja în clar când ajunge la tabela de rutare. Dacă un firewall separat trebuie să inspecteze acel trafic, routerul trebuie să îl trimită prin firewall, iar calea de întoarcere trebuie să revină la fel. O rută directă de la router la VLAN-ul serverelor scoate discret firewallul de pe cale, lăsându-l pe desen.

Aceasta este defecțiunea de căutat într-o rețea existentă: două rute către același prefix, una prin firewall și una directă, iar cea directă câștigă la lungimea prefixului sau la metrică. Tunelul tot transportă trafic, iar inspecția în care credeți nu are loc.

Tunelurile bazate pe rute fac acest lucru vizibil, pentru că tunelul este o interfață prin care puteți ruta printr-un alt dispozitiv. Tunelurile bazate pe politică selectează traficul după selector, ceea ce poate lăsa pachetul descifrat pe router fără alt loc unde să meargă.

Puneți ambilor candidați aceleași cinci întrebări

O foaie de lucru scurtă bate o matrice de funcții, pentru că fiecare întrebare corespunde unei linii de pe desen. Întrebați fiecare candidat:

• Ce versiuni IKE, ce metode de autentificare a partenerilor și ce modele de rutare acceptă de fapt această versiune?
• Unde este admis ESP și unde este permis sau refuzat fluxul descifrat?
• Cum învață gazdele locale prefixele îndepărtate și cum învață partea cealaltă prefixele dumneavoastră?
• Ce debit, ce număr de sesiuni și ce comportament de comutare la eroare trebuie să suporte punctul final pentru sarcina reală?
• Cine deține acreditările partenerului, politica și calea de recuperare atunci când tunelul este lucrul stricat?

pfSense documentează IPsec bazat pe politică și IPsec bazat pe rute ca modele separate, cu constrângeri separate, iar această diferență contează mai mult decât eticheta de pe cutie. Verificați modul exact și filtrarea acceptată a traficului descifrat în versiunea pe care ați implementa-o efectiv.

Dacă un candidat nu poate răspunde la a doua întrebare cu o regulă pe care o puteți citi, nu este granița pe care o doriți, oricât de bine ar face restul. Cereți textul regulii în loc de un da și tratați un răspuns vag ca pe un nu.

Verificați calea cu o captură, nu cu desenul

Un desen descrie intenția, iar o captură descrie comportamentul, așa că stabiliți ce interfață transportă ESP și care transportă fluxul interior înainte de a avea încredere în vreuna dintre ele.

tcpdump -ni wan0 esp
tcpdump -ni lan0 host 10.60.4.20
ip xfrm policy list

Dacă prima captură arată ESP sosind, iar a doua arată pachetul interior pe partea LAN, punctul de descifrare este acolo unde credeți. Dacă pachetul interior apare pe un segment care ocolește firewallul, rutarea este greșită, orice ar spune textul politicii. Listarea xfrm arată apoi ce selectori sunt instalați și în ce direcție.

Repetați captura pe calea de întoarcere, pentru că rutarea asimetrică este obișnuită când un site are două ieșiri posibile. Un tunel care funcționează într-o direcție și expiră în cealaltă este aproape întotdeauna acesta, iar nicio editare a politicii pe partea cealaltă nu îl va repara.