Kto v skutočnosti odpovedá na vyhradenej adrese VPN?

Adresa, ktorá leží nevyužitá v alokácii organizácie, nie je poslucháč a jej pridanie do firewallu žiadneho nevytvorí. Niečo musí na tejto adrese ukončiť IKE a mechanizmus sa líši podľa toho, či adresu vlastní brána, alebo ju prekladá zariadenie vyššie v ceste. Práve cesta paketu oba prípady rozlišuje a určuje, ktorú funkciu platformy potrebujete, skôr než ktokoľvek otvorí žiadosť o zmenu. Najprv cestu vymodelujte, potom vyberajte.

Cesta paketu za adresou

Protistrana posiela IKE na adresu, ktorú dostala, na UDP 500 alebo na UDP 4500, ak je v hre prechod cez NAT. Zariadenie, ktoré túto adresu na ceste drží, buď datagram prijme lokálne a odpovie naň, alebo ho prepošle inam. To sú jediné dve možnosti a všetko ostatné v tomto článku z toho vyplýva.

Lokálny príjem znamená, že na danom zariadení existuje socket naviazaný na túto adresu. Preposlanie znamená, že sa datagram prepíše a pošle ďalej na iný koncový bod, ktorý potom socket má. Pravidlo firewallu, ktoré povoľuje UDP 500, vám nepovie nič o tom, ktorá z tých dvoch vecí sa deje.

Napíšte záznam, skôr než sa čohokoľvek dotknete: adresu, s ktorou sa protistrany spájajú, ako ju doručuje nadradená sieť, lokálne rozhranie alebo logický koncový bod, ktorý ju prijíma, a proces, ktorý odpovedá na IKE. Štyri riadky a každý sa dá overiť. Ak je niektorý neznámy, je to neznáme práca na návrhu, nie implementačný detail na neskoršie rozhodnutie. Vyplňovať ich po schválení žiadosti o zmenu je spôsob, akým sa pravidlo prekladu dostane na nesprávne zariadenie.

Model A: adresu vlastní brána

V prvom modeli drží adresu sama brána, buď ako sekundárnu adresu na existujúcom rozhraní, ako adresu na vyhradenom rozhraní, alebo ako loopback, ktorý platforma podporuje ako koncový bod tunela. To sú tri rôzne funkcie s tromi rôznymi cestami konfigurácie a platforma, ktorá podporuje jednu, nemusí podporovať ostatné.

Skôr než okolo toho navrhnete riešenie, potvrďte, že platforma a vydanie podporujú presne toto usporiadanie. Smerovaný blok, ďalšia adresa na rozhraní a koncový bod loopback nie sú zameniteľné a dokumentácia jedného vydania nesľubuje, že ďalšie sa bude správať rovnako.

ip -br addr show
ss -lunp | grep -E ':500|:4500'
sudo tcpdump -ni eth0 'udp port 500 or udp port 4500'

Počúvajúci socket je dôkaz. Ak k adrese nie je nič naviazané, brána nie je terminátorom bez ohľadu na to, čo hovorí smerovacia tabuľka, a zachytávanie paketov ukáže datagramy prichádzať bez toho, aby na ne niekto odpovedal.

Nedávajte druhé rozhranie do podsiete, ktorá už inde v topológii existuje, a nepredpokladajte, že to platforma vyrieši. Prekrývajúce sa podsiete rozhraní dávajú nejednoznačný výber zdroja a na mnohých platformách úplné odmietnutie konfigurácie.

Model B: prekladá ju zariadenie vyššie v ceste

V druhom modeli drží vyhradenú adresu firewall vyššie v ceste a preposiela prevádzku na inú bránu VPN. To je preklad cieľa so spätnou cestou a je to úplne platný návrh, pokiaľ je tak zdokumentovaný.

Čo to však nie je, je dôkaz, že zariadenie vyššie v ceste získalo lokálny socket VPN. Preklad preposiela pakety; nerobí z hornej krabice odpovedača IKE. Ak sa pravidlo vyššie v ceste odstráni alebo sa preruší jeho spätná cesta, VPN sa zastaví, aj keď je brána zdravá a jej vlastné poslucháče nedotknuté.

Zapíšte obe adresy: tú, s ktorou sa protistrany spájajú, a tú, ktorú brána skutočne vidí. Potom zapíšte transport a spätnú cestu, pretože preklad, ktorý funguje pre UDP 500, ale nie pre zapuzdrené ESP, sa pripojí a potom nedokáže prenášať prevádzku, čo je mätúca porucha na neskoršie ladenie.

Identita nie je vonkajšia adresa

IPsec oddeľuje koncový bod tunela od prevádzky, ktorú chráni, a architektúra drží tieto rozhodnutia na rôznych miestach. Zmena adresy, s ktorou sa protistrany spájajú, automaticky nemení, ktoré vnútorné prefixy sú povolené, ktoré trasy sa nainštalujú ani ku ktorým zdrojom sa relácia môže dostať.

Overená identita je opäť oddelená. IKEv2 nesie identitnú užitočnú záťaž a výmenu overenia, ktoré nemusia zodpovedať vonkajšej adrese paketu, a práve preto sa preložený návrh stále môže správne overiť.

Tá nezávislosť je užitočná a zároveň pasca. Dve mená DNS, ktoré sa prekladajú na jedného bežného poslucháča, nevyberajú rôzne backendy VPN a certifikát, ktorý pomenúva jednu identitu, neuspokojí protistranu očakávajúcu inú. Potvrďte, čo protistrana overuje, skôr než budete predpokladať, že to rozhoduje sama adresa.

Prijmite návrh pozorovaním jedného spojenia

Preskúmajte, kam sa nové autorizované spojenie skutočne doručí, ktorá identita odpovedá a ktorý súkromný tok je potom povolený. Tri pozorovania, tri rôzne vrstvy a úspešné verejné vyhľadanie adresy neoverí ani jedno z nich.

Zachovajte aj negatívny prípad: protistranu, ktorá by nemala byť prijatá, alebo vnútorný prefix, ktorý by nemal byť dostupný, overené po zmene. Záznam, ktorý ste napísali na začiatku, je to, čo taký test umožní bez rekonštrukcie návrhu z pamäti.

Zmyslom toho všetkého je umožniť vlastníkovi siete zvoliť podporovanú metódu alokácie namiesto spoliehania sa na všeobecné tvrdenie o tom, čo každý firewall dokáže s ďalšou adresou. Práve toto tvrdenie je miesto, kde sa tieto návrhy pokazia, pretože znie vierohodne na každej platforme a všeobecne neplatí na žiadnej. Záznam zo štyroch riadkov to pre vašu platformu vyrieši za desať minút.