IPsec medzi dvoma hostiteľmi: kde ochrana začína a kde sa končí
Dvojica hostiteľov môže chrániť vybrané toky bez brány. Definujte koncové body, pravidlo, ktoré vyberá prevádzku, a oprávnenia, ktoré zostávajú oddelené.
Ochrana na dvojici hostiteľov začína tam, kde sa končí bezpečnostná asociácia, a to je fakt, ktorý väčšina intuície postavenej na bránach prehliada. Aplikačný server a jeho databázový server môžu chrániť svoju vlastnú konverzáciu priamo, bez akéhokoľvek koncentrátora vzdialeného prístupu na ceste, a hranica ochrany potom leží vnútri každého hostiteľa, a nie vo firewalle. Čo vám to kupuje, je pokrytie od konca ku koncu pre vybrané toky. Čo vám to nekupuje, je rozhodnutie o tom, kto smie čítať ktorý riadok.
Hranica je tam, kde sa končí SA
RFC 4301 opisuje bezpečnostné asociácie v transportnom režime ako usporiadanie zvyčajne používané medzi dvojicou hostiteľov na ochranu od konca ku koncu. Títo dvaja hostitelia držia kľúče a každý z nich rozhoduje, ktoré z jeho vlastných paketov vstúpia do asociácie. Tunel brány sa končí úplne inde a k hostiteľovi sa dostáva cez ďalší interný segment, čo je iná hranica dôvery, aj keď je paket po väčšinu svojej cesty šifrovaný.
Hostiteľ-hostiteľ a transportný režim však nie sú synonymá. Dvaja hostitelia si medzi sebou môžu rovnako správne postaviť asociáciu v tunelovom režime, takže najprv zvoľte režim a potom opíšte koncové body. Zapíšte oboje do návrhovej poznámky vedľa adries protistrany, pretože recenzent, ktorý pozná len režim, bude predpokladať ten druhý.
SPD rozhoduje o ochrane, trasa rozhoduje o smere
Smerovacia tabuľka odpovedá na to, kam paket ide. Databáza bezpečnostnej politiky odpovedá na to, ako vybraná prevádzka prekračuje hranicu ochrany, a robí to pre každý smer s vlastnými selektormi. Toto rozdelenie je dôvod, prečo funkčná trasa k databáze nič nedokazuje o tom, či bola požiadavka chránená, a prečo nadviazané rokovanie nič nedokazuje o tom, či mu táto konkrétna aplikácia zodpovedala. Porovnajte selektory skôr, než porovnáte počítadlá, pretože počítadlá opisujú len tie toky, ktoré sa dostali tak ďaleko.
V Linuxe ip xfrm policy vypisuje tie položky s ich smerom, prioritou, selektorom a akciou povoliť, blokovať alebo zachytiť, zatiaľ čo ip xfrm state zobrazuje výsledné asociácie a ich počítadlá. Čítanie oboch spolu je spôsob, ako nájdete tok, ktorý potichu obišiel tunel, pretože ako prvý zodpovedal širší záznam povolenia.
Poradie priorít je súčasťou pravidla, nie implementačný detail. Úzky záznam, ktorý by mal chrániť databázový port, prehráva so širším záznamom s vyššou prioritou, a zlyhanie vyzerá, akoby sa pravidlo nikdy nekonzultovalo.
Transportný režim pokrýva ďalšiu vrstvu, nie IP hlavičku
| Transport mode | Tunnel mode | |
|---|---|---|
| Original IP header | kept for routing the flow | replaced by an outer header |
| What ESP protects | the carried next-layer payload | the whole inner IP packet |
| Where it terminates | commonly the two hosts | gateway pair, or a host pair |
V transportnom režime hlavička ESP sedí medzi IP hlavičkou a užitočným zaťažením a adresové polia tejto hlavičky zostávajú viditeľné pre každé zariadenie na ceste. To je v poriadku, keď adresy nie sú tajomstvom a zaťaženie je. Je to nesprávna voľba, ak potrebujete skryť aj vnútornú topológiu, pretože pôvodnú hlavičku zabalí do novej iba tunelový režim.
Oba režimy môžu niesť niekoľko protokolov ďalšej vrstvy a ESP ochráni to, čo zodpovedá selektoru, nie všetko, čo hostiteľ odošle.
Výber je užší než spojenie
Jediná asociácia môže niesť viac tokov, ale iba tie, ktoré pravidlo vyberie. Zaznamenajte identity protistrán, zdrojové a cieľové adresy, protokol a rozsah služieb pre vzťah, ktorý zamýšľate, a potom samostatne rozhodnite, či nezodpovedajúca prevádzka smie ísť otvorene, musí byť chránená, alebo musí byť zahodená, keď asociácia nie je dostupná. Práve to posledné rozhodnutie prináša prekvapenia, pretože pravidlo vyžadujúce ochranu pre nesprávny zdroj môže zablokovať váš vlastný prístup na správu rovnako účinne, ako blokuje votrelca.
Kým meníte vynucovanie, udržujte schválenú mimopásmovú cestu a otestujte ju skôr, než ju budete potrebovať, nie až potom, čo sa obaja hostitelia stanú nedostupnými.
Identita stroja nie je oprávnenie aplikácie
IPsec overuje nakonfigurovanú protistranu a chráni vybrané pakety. Nerozhoduje o tom, ktorý databázový záznam smie človek upraviť, a nemení dôveryhodnú identitu servera na udelenie všetkých oprávnení aplikácie. Účty aplikácie, roly a autorizácia zostávajú presne tam, kde boli, a požiadavka TLS na úrovni aplikácie si zachováva svoj vlastný účel, aj keď je sieťová cesta už chránená.
Prijmite návrh s jednou operáciou zo zamýšľaného zdroja a jednou, ktorá musí byť odmietnutá, a zahrňte, čo sa stane, keď požadovanú asociáciu nemožno nadviazať. Bežný test dosiahnuteľnosti vám povie, že pakety sa pohybujú; nepovie vám, že sa pohybovali podľa pravidla, ktoré ste napísali.