Где се завршава VPN вашег сајта одређује шта се проверава

Уређај који дешифрује саобраћај између локација одређује шта заштитни зид још може да провери. Прво нацртајте границу, а затим изаберите рутер или заштитни зид.

Тунел између локација крије детаљ који одређује цео пројекат провере: тачан уређај на ком се унутрашњи пакет појављује у отвореном облику. Све пре те тачке види ESP, а све после ње види обичан IP који правило може да ухвати. Поставите границу на погрешно место и заштитни зид за који сте платили постаје рутер са лиценцом. Приказ у наставку прво црта линију и тек онда пита који уређај треба да је поседује.

Нацртајте линију тамо где пакет престаје да буде шифрован

У режиму тунела оригинални пакет се шифрује и умотава у нови спољни IP заглавље адресирано ка партнерском пролазу. Тај спољни пакет носи протокол 50 за ESP, тако да сваки уређај између два пролаза може да га рутира без читања унутрашњих адреса. Први уређај који дешифрује јесте безбедносна граница и уједно први који може да примени политику на унутрашњи ток. Све низводно од те тачке је обично рутирање.

Означите три ствари на цртежу: спољну крајњу тачку која пушта ESP, заштићене мреже наведене у политици, и следећи скок који дешифровани пакет чини. Ако та три нису на истом уређају, имате предају коју треба пројектовати, а не једну контролну тачку.

RFC 4301 назива уређај који дешифрује безбедносним пролазом и његову политику третира као део границе. То је кориснији оквир од категорије производа, јер је уређај граница када држи политику, а не када његов лист са подацима каже заштитни зид.

Заштитни зид као завршетак: један уређај, једна тачка политике

Када заштитни зид заврши тунел, рутер изнад само треба да му достави ESP. Заштитни зид проверава идентитет партнера, дешифрује и затим примењује своја уобичајена правила на унутрашњи пакет на путу ка VLAN-у сервера. Тако постоји једно место за читање политике и једно место за читање дневника, што ревизија обично тражи.

Проверите две дозволе одвојено. Дозволити IKE и ESP ка уређају није исто правило као дозволити удаљеној локацији да стигне до сервера, а заштитни зид који прихвата тунел блокирајући унутрашњи ток изгледа са друге стране тачно као покварен тунел.

Цена је да заштитни зид сада стоји на путу целог саобраћаја локације, па његова пропусност, ограничења сесија и понашање при пребацивању постају понашање самог тунела. Димензионишите га за здружене токове локације, а не за профил удаљеног приступа за који је можда купљен.

Рутер као завршетак: скок провере постаје опционалан

Када рутер дешифрује, пакет је већ отворен када стигне до табеле рутирања. Ако засебан заштитни зид треба да проверава тај саобраћај, рутер мора да га пошаље кроз заштитни зид, а повратни пут мора да се врати истим путем. Директна рута од рутера до VLAN-а сервера тихо уклања заштитни зид са пута, остављајући га на цртежу.

То је квар који треба тражити у постојећој мрежи: две руте ка истом префиксу, једна кроз заштитни зид и једна директна, при чему директна побеђује по дужини префикса или метрици. Тунел и даље пропушта саобраћај, а провера у коју верујете се не дешава.

Тунели засновани на рутама чине то видљивим, јер је тунел интерфејс кроз који можете да рутирате кроз други уређај. Тунели засновани на политикама бирају саобраћај по селектору, што може да остави дешифровани пакет на рутеру без другог места.

Поставите обома кандидатима истих пет питања

Кратак радни лист побеђује матрицу функција, јер свако питање одговара једној линији на цртежу. Питајте сваког кандидата:

  • Које верзије IKE, које методе аутентификације партнера и моделе рутирања ова верзија заиста подржава?
  • Где се допушта ESP и где је дешифровани ток дозвољен или забрањен?
  • Како локални домаћини уче удаљене префиксе и како друга страна учи ваше?
  • Коју пропусност, број сесија и понашање при пребацивању крајња тачка мора да издржи за стварно оптерећење?
  • Ко је одговоран за акредитиве партнера, политику и пут опоравка када је тунел та покварена ствар?

pfSense документује IPsec заснован на политикама и IPsec заснован на рутама као одвојене моделе са одвојеним ограничењима, и та разлика је важнија од етикете на кутији. Проверите тачан режим и подржано филтрирање дешифрованог саобраћаја у верзији коју бисте заиста применили.

Ако кандидат не може да одговори на друго питање правилом које можете да прочитате, то није граница коју желите, колико год добро радио све остало. Тражите текст правила уместо „да“ и нејасан одговор третирајте као „не“.

Проверите пут снимком, а не цртежом

Цртеж описује намеру, а снимак описује понашање, зато потврдите који интерфејс носи ESP, а који унутрашњи ток пре него што поверујете било коме од њих.

tcpdump -ni wan0 esp
tcpdump -ni lan0 host 10.60.4.20
ip xfrm policy list

Ако први снимак показује ESP који пристиже, а други показује унутрашњи пакет на LAN страни, тачка дешифровања је тамо где мислите. Ако се унутрашњи пакет појави на сегменту који заобилази заштитни зид, рутирање је погрешно, шта год да каже текст политике. Списак xfrm затим показује који су селектори инсталирани и у ком смеру.

Поновите снимак на повратном путу, јер је асиметрично рутирање уобичајено када локација има два могућа излаза. Тунел који ради у једном смеру, а у другом истиче, скоро увек је то, и никакво уређивање политике на другој страни то неће поправити.

Повезани чланци