Kde sa končí vaša VPN medzi lokalitami, určuje, čo sa kontroluje

Zariadenie, ktoré dešifruje prevádzku medzi lokalitami, určuje, čo firewall ešte môže skontrolovať. Najprv nakreslite hranicu a až potom vyberte router alebo firewall.

Tunel medzi lokalitami skrýva detail, ktorý určuje celý návrh kontroly: presné zariadenie, na ktorom sa vnútorný paket objaví v otvorenej podobe. Všetko pred týmto bodom vidí ESP a všetko za ním vidí bežnú IP, na ktorú môže pravidlo zabrať. Umiestnite hranicu na nesprávne miesto a firewall, za ktorý ste zaplatili, sa stane routerom s licenciou. Nasledujúci postup najprv nakreslí líniu a až potom sa pýta, ktoré zariadenie ju má vlastniť.

Nakreslite líniu tam, kde paket prestáva byť šifrovaný

V tunelovom režime sa pôvodný paket zašifruje a zabalí do novej vonkajšej IP hlavičky adresovanej partnerskej bráne. Táto vonkajšia hlavička nesie protokol 50 pre ESP, takže akékoľvek zariadenie medzi oboma bránami ju môže smerovať bez čítania vnútorných adries. Prvé zariadenie, ktoré dešifruje, je bezpečnostnou hranicou a zároveň prvým zariadením, ktoré môže na vnútorný tok uplatniť politiku. Všetko pod týmto bodom je bežné smerovanie.

Na nákrese označte tri veci: vonkajší koncový bod, ktorý prijíma ESP, chránené siete uvedené v politike, a ďalší skok, ktorý dešifrovaný paket urobí. Ak tieto tri nie sú na tom istom zariadení, máte navrhnúť odovzdanie, nie jediný kontrolný bod.

RFC 4301 nazýva dešifrujúce zariadenie bezpečnostnou bránou a jeho politiku považuje za súčasť hranice. To je užitočnejší rámec než kategória produktu, pretože zariadenie je hranicou vtedy, keď drží politiku, nie keď jeho dátový list hovorí firewall.

Firewall ako ukončenie: jedno zariadenie, jeden bod politiky

Keď firewall tunel ukončí, nadradený router mu musí ESP len doručiť. Firewall overí partnera, dešifruje a potom na vnútorný paket na ceste do serverového VLAN uplatní svoje obvyklé pravidlá. To dáva jedno miesto na čítanie politiky a jedno miesto na čítanie logov, čo audit zvyčajne vyžaduje.

Skontrolujte obe oprávnenia oddelene. Povoliť IKE a ESP k zariadeniu nie je rovnaké pravidlo ako povoliť vzdialenej lokalite dosiahnuť server, a firewall, ktorý tunel prijme a pritom zablokuje vnútorný tok, vyzerá z druhého konca presne ako rozbitý tunel.

Cena je, že firewall teraz leží na ceste všetkej prevádzky lokality, takže jeho priepustnosť, limity relácií a správanie pri prepnutí sa stávajú správaním samotného tunela. Dimenzujte ho pre kombinované toky lokality, nie pre profil vzdialeného prístupu, pre ktorý mohol byť kúpený.

Router ako ukončenie: kontrolný skok sa stáva voliteľným

Keď router dešifruje, je paket pri dosiahnutí smerovacej tabuľky už v otvorenej podobe. Ak má túto prevádzku kontrolovať samostatný firewall, musí ju router poslať cez firewall a spätná cesta sa musí vrátiť rovnako. Priama trasa z routera do serverového VLAN potichu odstráni firewall z cesty, zatiaľ čo ho ponechá na nákrese.

To je porucha, ktorú treba v existujúcej sieti hľadať: dve trasy k rovnakému prefixu, jedna cez firewall a jedna priama, pričom priama vyhráva podľa dĺžky prefixu alebo metriky. Tunel stále prepúšťa prevádzku a kontrola, v ktorú veríte, sa nekoná.

Tunely založené na trasách to zviditeľňujú, pretože tunel je rozhranie, cez ktoré sa dá smerovať cez iné zariadenie. Tunely založené na politikách vyberajú prevádzku podľa selektora, čo môže nechať dešifrovaný paket na routeri bez iného miesta, kam ísť.

Položte obom kandidátom rovnakých päť otázok

Krátky pracovný list poráža maticu funkcií, pretože každá otázka zodpovedá jednej línii na nákrese. Spýtajte sa každého kandidáta:

  • Ktoré verzie IKE, ktoré metódy overovania partnerov a ktoré modely smerovania táto verzia skutočne podporuje?
  • Kde sa ESP prijíma a kde je dešifrovaný tok povolený alebo zakázaný?
  • Ako sa miestni hostitelia učia vzdialené prefixy a ako sa druhá strana učí tie vaše?
  • Akú priepustnosť, počet relácií a správanie pri prepnutí musí koncový bod zvládnuť pre skutočnú záťaž?
  • Kto vlastní prihlasovacie údaje partnera, politiku a cestu obnovy, keď je pokazená vec práve tunel?

pfSense dokumentuje IPsec založený na politikách a IPsec založený na trasách ako samostatné modely so samostatnými obmedzeniami, a tento rozdiel váži viac než štítok na škatuli. Skontrolujte presný režim a podporované filtrovanie dešifrovanej prevádzky vo verzii, ktorú by ste skutočne nasadili.

Ak kandidát nevie odpovedať na druhú otázku pravidlom, ktoré si môžete prečítať, nie je to hranica, ktorú chcete, nech robí čokoľvek iné dobre. Žiadajte text pravidla namiesto áno a vágnej odpovedi berte ako nie.

Overte cestu zachytením, nie nákresom

Nákres opisuje zámer a zachytenie opisuje správanie, takže potvrďte, ktoré rozhranie nesie ESP a ktoré vnútorný tok, skôr než jednému z nich uveríte.

tcpdump -ni wan0 esp
tcpdump -ni lan0 host 10.60.4.20
ip xfrm policy list

Ak prvé zachytenie ukazuje prichádzajúce ESP a druhé ukazuje vnútorný paket na strane LAN, je bod dešifrovania tam, kde si myslíte. Ak sa vnútorný paket objaví na segmente, ktorý obchádza firewall, je smerovanie zlé, nech text politiky hovorí čokoľvek. Výpis xfrm potom ukazuje, ktoré selektory sú nainštalované a akým smerom.

Zopakujte zachytenie na spätnej ceste, pretože asymetrické smerovanie je bežné, keď má lokalita dva možné výstupy. Tunel, ktorý funguje jedným smerom a v druhom vyprší, je takmer vždy toto, a žiadna úprava politiky na druhej strane to nespraví.

Súvisiace články