Čo evidovať pri VPN medzi lokalitami: selektory a rozsah

Šesť mesiacov po nasadení tunela nová podsiet prestane vyhovovať politike a jediný dokument na zdieľanom disku hovorí iba VPN kancelárie. To je zlyhanie, ktorému záznam o selektoroch zabraňuje, a je konkrétne: množina adries sa zmenila, ale dokumentácia nie. Napísať záznam správne znamená vedieť, ktorú z niekoľkých množín adries opisujete, a zaznamenať tú, ktorú druhá strana skutočne vynucuje, nie tú, ktorú ste nakonfigurovali.

Nakonfigurované nie je dohodnuté

V tuneli IPsec založenom na politikách každá strana navrhuje selektory prevádzky: rozsahy zdroja a cieľa pre podradenú asociáciu. Odpovedajúca strana môže tento návrh zúžiť, takže nainštalovaná asociácia môže pokrývať menej, než uvádza konfigurácia. Záznam, ktorý konfiguráciu kopíruje, opisuje zámer, nie aktuálny rozsah ochrany. Oboje sa ticho rozchádza a nič na stránke stavu tunela na to neupozorňuje.

Uchovajte oba stĺpce s dátumom, kedy ste ich pozorovali. Nakonfigurovaný selektor je to, čo ste zamýšľali; dohodnutý je to, čo jadro práve teraz vynucuje. Keď sa líšia, tento rozdiel vysvetľuje prekvapivé zlyhanie oveľa častejšie než chyba smerovania.

Jedna asociácia tiež nereprezentuje každú nakonfigurovanú dvojicu. Tunel s viacerými kombináciami selektorov môže skončiť s viacerými podradenými asociáciami a záznam, ktorý uvádza jednu z nich, je neúplný inventár. Vymenujte ich namiesto toho, aby ste ich zhrnuli.

Tunely založené na trasách vyberajú inak

Pri rozhraní založenom na trasách rozhoduje o tom, čo vstúpi do tunela, tabuľka smerovania a selektory môžu byť zámerne široké. Je to legitímny návrh, nie nedbalosť, a záznam to tak musí opísať. Zapíšte trasu, rozhranie, na ktoré ukazuje, a politiku firewallu, ktorá obmedzuje dostupné služby. Rozsah ochrany je zámerne široký a zúženie robí rozsah služieb.

Skopírovanie šablóny založenej na politikách na tunel založený na trasách vytvorí dokument, ktorý opisuje mechanizmus, ktorý nasadenie nepoužíva. Ďalší inžinier potom hľadá selektory, ktoré tam nikdy nemali byť, a usúdi, že tunel je zle nakonfigurovaný, hoci je len zle zdokumentovaný.

Preklad adries patrí do tej istej tabuľky

Keď NAT predstaví druhej strane iný rozsah, zapíšte pôvodné aj preložené prefixy spolu. Poznamenajte fázu, v ktorej sa selektory a pravidlá prístupu s nimi zhodujú, pretože poradie rozhoduje o tom, či vzdialená strana niekedy uvidí adresu, ktorú ste zapísali. Tabuľka len s jedným z dvoch rozsahov je horšia než žiadna tabuľka, pretože vyzerá úplná.

Toto je detail, ktorý po zmene NAT rozbije fungujúci tunel: selektor stále zodpovedá pôvodnému prefixu, druhá strana teraz dostáva preložený a jej spätná trasa ukazuje na adresu, ktorá už neexistuje. Nič nezaznamená chybu v okamihu, keď sa obe prestanú zhodovať.

Súkromný DNS patrí na to isté miesto. Meno, ktoré sa prekladá na adresu nepoužiteľnú z príslušnej lokality, je chyba v dokumentácii s priloženým tiketom podpory a vina padne na tunel.

Pripojte požiadavku na službu

Chránený rozsah nie je zoznam povolení. Zapíšte, ktoré služby majú byť dostupné z ktorého zdroja a kto vlastní aplikáciu za nimi. Tieto dve polia odpovedajú na rozdielne otázky a ich miešanie spôsobuje, že bezpečnostná revízia skončí sporom o smerovaní namiesto o prístupe.

Potom uveďte správcu siete, ktorý pravidlo udržiava. Inventár selektorov bez vlastníka ticho zastaráva a zastarané sa nedá odlíšiť od chybného, keď tunel o druhej ráno padne. Vlastník je aj ten, kto môže potvrdiť, že zmena bola zámerná.

Premeňte záznam na testovací plán

Pre každú požadovanú cestu vyberte reprezentatívny zdrojový a cieľový hostiteľ a poznamenajte očakávanú trasu, službu a bránu odpovede. To premení dokument na testovací plán namiesto opisu. Prečítajte aktívnu asociáciu príkazom nižšie a porovnajte ju s dohodnutým riadkom, ktorý ste zapísali.

swanctl --list-sas

Kostra z piatich riadkov zvyčajne stačí, aby záznam zostal poctivý. Verzia nižšie sa zmestí do tiketu na zmenu bez skrátenia:

sites: office <-> dc1
configured selector: 10.10.0.0/16 <-> 10.20.0.0/16
negotiated selector: 10.10.4.0/22 <-> 10.20.0.0/16
translated range: 172.16.4.0/22 -> 10.10.4.0/22
service and owner: erp:443 / finance-netops

Ping len na bránu nie je akceptačný test. Nikdy necvičí tranzitnú cestu, takže môže prejsť, kým každý preposielaný tok zlyháva. Testujte z hostiteľa na jednej strane k službe na druhej a potvrďte, že odpoveď prichádza cez tunel. Ak prejde len ping, záznam práve našiel problém s preposielaním, ktorému mal zabrániť. Dokumentácia strongSwan o preposielaní vysvetľuje, ako selektory, trasy a preposielanie spolupôsobia na uzle Linux.