Kje se konča VPN vaše lokacije, odloča, kaj se pregleduje

Naprava, ki dešifrira promet med lokacijami, odloča, kaj lahko požarni zid še pregleda. Najprej narišite mejo in šele nato izberite usmerjevalnik ali požarni zid.

Tunel med lokacijami skriva podrobnost, ki odloča o celotni zasnovi pregledovanja: točno napravo, na kateri se notranji paket pojavi v čistem besedilu. Vse pred to točko vidi ESP, vse za njo pa običajni IP, ki ga pravilo lahko ujame. Mejo postavite na napačno mesto in požarni zid, ki ste ga plačali, postane usmerjevalnik z licenco. Spodnji pregled najprej nariše črto in šele nato vpraša, katera naprava naj jo ima v lasti.

Narišite črto tam, kjer paket ni več šifriran

V načinu tunela se izvirni paket šifrira in ovije v novo zunanjo glavo IP, naslovljeno na partnerski prehod. Ta zunanji paket nosi protokol 50 za ESP, zato ga lahko katera koli naprava med obema prehodoma usmeri, ne da bi brala notranje naslove. Prva naprava, ki dešifrira, je varnostna meja in je tudi prva, ki lahko uporabi politiko na notranji tok. Vse navzdol od te točke je običajno usmerjanje.

Na risbi označite tri stvari: zunanjo končno točko, ki spusti ESP, zaščitena omrežja, navedena v politiki, in naslednji skok, ki ga opravi dešifrirani paket. Če te tri niso na isti napravi, imate prehod, ki ga je treba zasnovati, ne ene nadzorne točke.

RFC 4301 imenuje napravo, ki dešifrira, varnostni prehod in njeno politiko obravnava kot del meje. To je uporabnejši okvir od kategorije izdelka, ker je naprava meja takrat, ko ima politiko, ne pa takrat, ko na njenem podatkovnem listu piše požarni zid.

Požarni zid kot zaključek: ena naprava, ena točka politike

Ko požarni zid zaključi tunel, mu mora usmerjevalnik zgoraj le še dostaviti ESP. Požarni zid preveri identiteto partnerja, dešifrira in nato uporabi svoja običajna pravila na notranji paket na poti v VLAN strežnikov. Tako je eno mesto za branje politike in eno mesto za branje dnevnikov, kar revizija običajno zahteva.

Preverite obe dovoljenji ločeno. Dovoliti IKE in ESP do naprave ni isto pravilo kot dovoliti oddaljeni lokaciji, da doseže strežnik, in požarni zid, ki sprejme tunel, a blokira notranji tok, je z drugega konca videti natanko kot pokvarjen tunel.

Cena je, da požarni zid zdaj stoji na poti vsega prometa lokacije, zato njegova prepustnost, omejitve sej in vedenje pri preklopu postanejo vedenje samega tunela. Dimenzionirajte ga za združene tokove lokacije, ne za profil oddaljenega dostopa, za katerega je bil morda kupljen.

Usmerjevalnik kot zaključek: skok pregleda postane neobvezen

Ko usmerjevalnik dešifrira, je paket že čist, ko doseže usmerjevalno tabelo. Če mora ta promet pregledovati ločen požarni zid, ga mora usmerjevalnik poslati skozi požarni zid in povratna pot se mora vrniti po isti poti. Neposredna pot od usmerjevalnika do VLAN strežnikov tiho odstrani požarni zid s poti, medtem ko ga pusti na risbi.

To je napaka, ki jo je treba iskati v obstoječem omrežju: dve poti do istega predpone, ena skozi požarni zid in ena neposredna, pri čemer neposredna zmaga po dolžini predpone ali metriki. Tunel še vedno prepušča promet, pregleda, v katerega verjamete, pa ni.

Tuneli, ki temeljijo na poteh, to naredijo vidno, ker je tunel vmesnik, skozi katerega lahko usmerjate prek druge naprave. Tuneli, ki temeljijo na politiki, izbirajo promet po selektorju, kar lahko pusti dešifrirani paket na usmerjevalniku brez drugega cilja.

Postavite obema kandidatoma istih pet vprašanj

Kratek delovni list premaga matriko funkcij, ker vsako vprašanje ustreza eni črti na risbi. Vprašajte vsakega kandidata:

  • Katere različice IKE, katere metode preverjanja partnerja in katere modele usmerjanja ta izdaja dejansko podpira?
  • Kje se ESP spusti in kje je dešifrirani tok dovoljen ali zavrnjen?
  • Kako se lokalni gostitelji naučijo oddaljene predpone in kako se druga stran nauči vaše?
  • Kakšno prepustnost, število sej in vedenje pri preklopu mora končna točka prenesti za resnično obremenitev?
  • Kdo je odgovoren za poverilnice partnerja, politiko in pot obnovitve, ko je tunel tista pokvarjena stvar?

pfSense dokumentira IPsec, ki temelji na politiki, in IPsec, ki temelji na poteh, kot ločena modela z ločenimi omejitvami, in ta razlika šteje več od nalepke na škatli. Preverite natančen način in podprto filtriranje dešifriranega prometa v izdaji, ki bi jo resnično uvedli.

Če kandidat ne more odgovoriti na drugo vprašanje s pravilom, ki ga lahko preberete, to ni meja, ki jo želite, ne glede na to, kako dobro dela vse drugo. Zahtevajte besedilo pravila namesto da in nejasen odgovor obravnavajte kot ne.

Preverite pot s posnetkom, ne z risbo

Risba opisuje namero, posnetek pa vedenje, zato potrdite, kateri vmesnik nosi ESP in kateri notranji tok, preden zaupate kateremu od njiju.

tcpdump -ni wan0 esp
tcpdump -ni lan0 host 10.60.4.20
ip xfrm policy list

Če prvi posnetek kaže prihajajoči ESP, drugi pa notranji paket na strani LAN, je točka dešifriranja tam, kjer mislite. Če se notranji paket pojavi na segmentu, ki obide požarni zid, je usmerjanje napačno, kar koli pravi besedilo politike. Seznam xfrm nato pokaže, kateri selektorji so nameščeni in v katero smer.

Ponovite posnetek na povratni poti, ker je asimetrično usmerjanje pogosto, ko ima lokacija dva možna izhoda. Tunel, ki deluje v eno smer in v drugi poteče, je skoraj vedno to, in nobeno urejanje politike na drugi strani tega ne popravi.

Sorodni članki