IPsec између два домаћина: где заштита почиње и где се завршава

Заштита на пару домаћина почиње тамо где се завршава безбедносна асоцијација, и то је чињеница коју интуиција обликована пролазима најчешће превиди. Сервер апликације и његов сервер базе података могу директно да штите сопствени разговор, без иједног концентратора за даљински приступ на путу, и граница заштите тада лежи унутар сваког домаћина, а не у заштитном зиду. Оно што то доноси јесте покривеност од краја до краја за изабране токове. Оно што то не доноси јесте одлука о томе ко сме да чита који ред.

Граница је тамо где се SA завршава

RFC 4301 описује безбедносне асоцијације у транспортном режиму као распоред који се обично користи између пара домаћина за заштиту од краја до краја. Та два домаћина држе кључеве и сваки одлучује који његови сопствени пакети улазе у асоцијацију. Тунел пролаза се завршава потпуно другде и долази до домаћина кроз додатни унутрашњи сегмент, што је друга граница поверења чак и када је пакет шифрован већи део свог пута.

Домаћин-на-домаћина и транспортни режим, међутим, нису синоними. Два домаћина могу једнако исправно да изграде асоцијацију у тунелском режиму између себе, па најпре изаберите режим, а затим опишите крајње тачке. Упишите обоје у пројектну белешку поред адреса партнера, јер ће рецензент који познаје само режим претпоставити онај други.

SPD одлучује о заштити, рута одлучује о смеру

Табела усмеравања одговара на то куда пакет иде. База безбедносних правила одговара на то како изабрани саобраћај прелази границу заштите, и то чини за сваки смер са сопственим селекторима. Та подела је разлог зашто функционална рута до базе података ништа не доказује о томе да ли је захтев био заштићен, и зашто успостављено преговарање ништа не доказује о томе да ли се ова конкретна апликација с њим поклопила. Упоредите селекторе пре него што упоредите бројаче, јер бројачи описују само токове који су стигли тако далеко.

На Linux-у ip xfrm policy исписује те уносе са њиховим смером, приоритетом, селектором и радњом дозволи, блокирај или ухвати, док ip xfrm state приказује настале асоцијације и њихове бројаче. Читање обога заједно је начин да пронађете ток који је тихо заобишао тунел јер се шири унос дозволе поклопио први.

Редослед приоритета је део правила, а не појединост примене. Уски унос који би требало да штити порт базе података губи од ширег уноса са вишим приоритетом, а квар изгледа као да правило никада није консултовано.

Транспортни режим покрива следећи слој, а не IP заглавље

У транспортном режиму ESP заглавље седи између IP заглавља и корисног терета, а адресна поља тог заглавља остају видљива сваком уређају на путу. То је у реду када адресе нису тајна, а терет јесте. То је погрешан избор ако треба да сакријете и унутрашњу топологију, јер само тунелски режим замотава изворно заглавље у ново.

Оба режима могу да носе неколико протокола следећег слоја, а ESP ће штитити оно што селектор изабере, а не све што домаћин пошаље.

Избор је ужи од везе

Једна асоцијација може да носи више токова, али само оне које правило изабере. Забележите идентитете партнера, изворне и одредишне адресе, протокол и обим услуге за однос који намеравате, а затим одвојено одлучите сме ли неодговарајући саобраћај да иде отворено, мора ли да буде заштићен или мора да буде одбачен када асоцијација није доступна. Управо та последња одлука ствара изненађења, јер правило које захтева заштиту за погрешан извор може да блокира ваш сопствени приступ за управљање једнако делотворно као што блокира уљеза.

Држите одобрен ванпојасни пут док мењате примену и тестирајте га пре него што вам затреба, а не након што оба домаћина постану недоступна.

Идентитет машине није дозвола апликације

IPsec проверава конфигурисаног партнера и штити изабране пакете. Не одлучује који запис у бази података особа сме да уређује и не претвара поуздан идентитет сервера у доделу свих апликацијских овлашћења. Рачуни апликације, улоге и ауторизација остају тачно тамо где су били, а захтев за TLS на нивоу апликације задржава сопствену сврху чак и када је мрежни пут већ заштићен.

Прихватите пројекат са једном операцијом са предвиђеног извора и једном коју треба одбити, и укључите шта се дешава када се тражена асоцијација не може успоставити. Уобичајен тест доступности каже вам да се пакети крећу; не каже вам да су се кретали по правилу које сте написали.