Ku përfundon VPN i faqes tuaj përcakton çfarë inspektohet

Një tunel mes faqeve fsheh një detaj që përcakton të gjithë dizajnin e inspektimit: pajisjen e saktë ku paketa e brendshme shfaqet në tekst të qartë. Gjithçka para asaj pike sheh ESP, dhe gjithçka pas saj sheh IP të zakonshme që një rregull mund ta kapë. Vendosni kufirin në vendin e gabuar dhe muri i zjarrit që keni paguar bëhet një ruter me licencë. Ecja më poshtë vizaton së pari vijën dhe vetëm pastaj pyet cila pajisje duhet ta zotërojë atë.

Vizatoni vijën aty ku paketa nuk është më e kriptuar

Në modalitetin tunel, paketa origjinale kriptohet dhe mbështillet në një kokë të re të jashtme IP drejtuar portës partnere. Kjo kokë e jashtme mban protokollin 50 për ESP, kështu që çdo pajisje mes dy portave mund ta rrugëtojë pa lexuar adresat e brendshme. Pajisja e parë që dekripton është kufiri i sigurisë, dhe është gjithashtu pajisja e parë që mund të zbatojë politika mbi rrjedhën e brendshme. Gjithçka në rrjedhën e poshtme të asaj pike është rrugëtim i zakonshëm.

Shënoni tre gjëra në vizatim: pikën e jashtme fundore që pranon ESP, rrjetet e mbrojtura të përmendura në politikë, dhe kërcimin e radhës që bën paketa e dekriptuar. Nëse këto tre nuk janë në të njëjtën pajisje, keni një kalim që duhet projektuar, jo një pikë të vetme kontrolli.

RFC 4301 e quan pajisjen që dekripton portë sigurie dhe politikën e saj e trajton si pjesë të kufirit. Ky është një kornizë më e dobishme se kategoria e produktit, sepse një pajisje është kufi kur mban politikën, jo kur fleta e saj e të dhënave thotë firewall.

Muri i zjarrit si përfundim: një pajisje, një pikë politike

Kur muri i zjarrit përfundon tunelin, ruteri sipër duhet vetëm t'i dorëzojë atij ESP. Muri i zjarrit vërteton partnerin, dekripton dhe më pas zbaton rregullat e tij të zakonshme mbi paketën e brendshme në rrugën drejt VLAN-it të serverëve. Kështu krijohet një vend për të lexuar politikën dhe një vend për të lexuar regjistrat, gjë që zakonisht kërkon një auditim.

Kontrolloni dy lejet veçmas. Lejimi i IKE dhe ESP drejt pajisjes nuk është i njëjti rregull si lejimi i një faqeje të largët për të arritur një server, dhe një mur zjarri që pranon tunelin duke bllokuar rrjedhën e brendshme duket nga ana tjetër saktësisht si një tunel i prishur.

Kostoja është se muri i zjarrit tani qëndron në rrugën e të gjithë trafikut të faqes, kështu që xhiroja, kufijtë e sesioneve dhe sjellja në kalim dështimi bëhen sjellja e vetë tunelit. Dimensionojeni për rrjedhat e kombinuara të faqes, jo për profilin e aksesit në distancë për të cilin mund të jetë blerë.

Ruteri si përfundim: kërcimi i inspektimit bëhet opsional

Kur ruteri dekripton, paketa është tashmë e qartë kur arrin tabelën e rrugëtimit. Nëse një mur zjarri i veçantë duhet të inspektojë atë trafik, ruteri duhet ta dërgojë përmes murit të zjarrit dhe rruga e kthimit duhet të kthehet në të njëjtën mënyrë. Një rrugë e drejtpërdrejtë nga ruteri në VLAN-in e serverëve e heq në heshtje murin e zjarrit nga rruga, duke e lënë atë në vizatim.

Ky është defekti që duhet kërkuar në një rrjet ekzistues: dy rrugë drejt të njëjtit prefiks, njëra përmes murit të zjarrit dhe tjetra e drejtpërdrejtë, ku e drejtpërdrejta fiton për nga gjatësia e prefiksit ose metrika. Tuneli vazhdon të kalojë trafik dhe inspektimi në të cilin besoni nuk ndodh.

Tunelet e bazuara në rrugë e bëjnë këtë të dukshme, sepse tuneli është një ndërfaqe përmes së cilës mund të rrugëtoni përmes një pajisjeje tjetër. Tunelet e bazuara në politika e zgjedhin trafikun sipas selektorit, gjë që mund ta lërë paketën e dekriptuar në ruter pa asnjë vend tjetër ku të shkojë.

Bëjini të dy kandidatëve të njëjtat pesë pyetje

Një fletë e shkurtër pune mund një matricë funksionesh, sepse çdo pyetje korrespondon me një vijë në vizatim. Pyesni çdo kandidat:

• Cilat versione IKE, cilat metoda vërtetimi të partnerit dhe cilat modele rrugëtimi mbështet në të vërtetë ky version?
• Ku pranohet ESP dhe ku lejohet ose ndalohet rrjedha e dekriptuar?
• Si i mësojnë hostet lokale prefikset e largëta dhe si i mëson pala tjetër tuajat?
• Çfarë xhiroje, sa sesione dhe çfarë sjelljeje në kalim dështimi duhet të përballojë pika fundore për ngarkesën reale?
• Kush zotëron kredencialet e partnerit, politikën dhe rrugën e rikuperimit kur tuneli është gjëja e prishur?

pfSense dokumenton IPsec të bazuar në politika dhe IPsec të bazuar në rrugë si modele të veçanta me kufizime të veçanta, dhe ky ndryshim vlen më shumë se etiketa në kuti. Kontrolloni modalitetin e saktë dhe filtrimin e mbështetur të trafikut të dekriptuar në versionin që do të vendosnit vërtet.

Nëse një kandidat nuk mund t'i përgjigjet pyetjes së dytë me një rregull që mund ta lexoni, ai nuk është kufiri që dëshironi, sado mirë të bëjë gjithçka tjetër. Kërkoni tekstin e rregullit në vend të një po dhe trajtoni një përgjigje të paqartë si një jo.

Verifikoni rrugën me një kapje, jo me vizatimin

Vizatimi përshkruan qëllimin dhe kapja përshkruan sjelljen, prandaj konfirmoni cila ndërfaqe mban ESP dhe cila rrjedhën e brendshme përpara se t'i besoni ndonjërës prej tyre.

tcpdump -ni wan0 esp
tcpdump -ni lan0 host 10.60.4.20
ip xfrm policy list

Nëse kapja e parë tregon ESP që mbërrin dhe e dyta tregon paketën e brendshme në anën LAN, pika e dekriptimit është aty ku mendoni. Nëse paketa e brendshme shfaqet në një segment që anashkalon murin e zjarrit, rrugëtimi është i gabuar, çfarëdo që thotë teksti i politikës. Lista xfrm më pas tregon cilët selektorë janë instaluar dhe në cilin drejtim.

Përsëriteni kapjen në rrugën e kthimit, sepse rrugëtimi asimetrik është i zakonshëm kur një faqe ka dy dalje të mundshme. Një tunel që funksionon në një drejtim dhe skadon në tjetrin është pothuajse gjithmonë kjo, dhe asnjë redaktim i politikës në anën tjetër nuk e rregullon.