จุดที่ VPN ของไซต์คุณสิ้นสุดลงเป็นตัวกำหนดว่าจะถูกตรวจสอบอะไร

อุโมงค์ระหว่างไซต์ซ่อนรายละเอียดหนึ่งอย่างที่กำหนดการออกแบบการตรวจสอบทั้งหมด นั่นคืออุปกรณ์ที่แน่นอนซึ่งแพ็กเก็ตภายในปรากฏเป็นข้อความธรรมดา ทุกสิ่งก่อนจุดนั้นจะเห็น ESP และทุกสิ่งหลังจากนั้นจะเห็น IP ธรรมดาที่กฎหนึ่งสามารถจับได้ หากวางเส้นขอบผิดที่ ไฟร์วอลล์ที่คุณจ่ายเงินซื้อมาจะกลายเป็นเราเตอร์ที่มีใบอนุญาต แนวทางด้านล่างลากเส้นก่อนแล้วจึงถามว่าใครควรเป็นเจ้าของเส้นนั้น

ลากเส้นตรงจุดที่แพ็กเก็ตหยุดถูกเข้ารหัส

ในโหมดอุโมงค์ แพ็กเก็ตต้นฉบับถูกเข้ารหัสและห่อด้วยส่วนหัว IP ภายนอกใหม่ที่ส่งถึงเกตเวย์คู่ แพ็กเก็ตภายนอกนั้นบรรทุกโปรโตคอล 50 สำหรับ ESP อุปกรณ์ใดก็ได้ระหว่างเกตเวย์สองตัวจึงกำหนดเส้นทางได้โดยไม่ต้องอ่านที่อยู่ภายใน อุปกรณ์แรกที่ถอดรหัสคือเส้นขอบความปลอดภัย และยังเป็นอุปกรณ์แรกที่ใช้นโยบายกับกระแสภายในได้ ทุกอย่างใต้จุดนั้นคือการกำหนดเส้นทางธรรมดา

ทำเครื่องหมายสามอย่างบนแผนภาพ จุดปลายภายนอกที่ยอมรับ ESPเครือข่ายที่ได้รับการป้องกันซึ่งระบุในนโยบายและฮอปถัดไปที่แพ็กเก็ตที่ถอดรหัสแล้วใช้ หากทั้งสามไม่อยู่บนอุปกรณ์เดียวกัน คุณมีงานส่งต่อที่ต้องออกแบบ ไม่ใช่จุดควบคุมเพียงจุดเดียว

RFC 4301 เรียกอุปกรณ์ที่ถอดรหัสว่าประตูความปลอดภัย และถือว่านโยบายของอุปกรณ์นั้นเป็นส่วนหนึ่งของเส้นขอบ นี่เป็นกรอบที่มีประโยชน์กว่าหมวดหมู่ผลิตภัณฑ์ เพราะอุปกรณ์เป็นเส้นขอบเมื่อถือครองนโยบาย ไม่ใช่เมื่อเอกสารข้อมูลบอกว่าเป็นไฟร์วอลล์

ไฟร์วอลล์เป็นจุดสิ้นสุด หนึ่งอุปกรณ์ หนึ่งจุดนโยบาย

เมื่อไฟร์วอลล์สิ้นสุดอุโมงค์ เราเตอร์ต้นทางเพียงต้องส่ง ESP ให้เท่านั้น ไฟร์วอลล์ตรวจสอบตัวตนของคู่ ถอดรหัส แล้วจึงใช้กฎปกติกับแพ็กเก็ตภายในระหว่างทางไปยัง VLAN ของเซิร์ฟเวอร์ วิธีนี้ทำให้มีที่เดียวสำหรับอ่านนโยบายและที่เดียวสำหรับอ่านบันทึก ซึ่งเป็นสิ่งที่การตรวจสอบมักต้องการ

ตรวจสอบการอนุญาตสองอย่างแยกกัน การอนุญาต IKE และ ESP ไปยังอุปกรณ์ไม่ใช่กฎเดียวกับการอนุญาตให้ไซต์ระยะไกลเข้าถึงเซิร์ฟเวอร์ และไฟร์วอลล์ที่ยอมรับอุโมงค์แต่บล็อกกระแสภายในจะดูเหมือนอุโมงค์ที่เสียจากปลายอีกด้านหนึ่งพอดี

ราคาที่ต้องจ่ายคือไฟร์วอลล์อยู่ในเส้นทางของทราฟฟิกทั้งไซต์แล้ว ดังนั้นปริมาณงาน ขีดจำกัดเซสชัน และพฤติกรรมการสลับเมื่อล้มเหลวจึงกลายเป็นพฤติกรรมของอุโมงค์เอง จัดขนาดให้เหมาะกับกระแสรวมของไซต์ ไม่ใช่โปรไฟล์การเข้าถึงระยะไกลที่อาจซื้อมาเพื่อสิ่งนั้น

เราเตอร์เป็นจุดสิ้นสุด ฮอปการตรวจสอบกลายเป็นทางเลือก

เมื่อเราเตอร์ถอดรหัส แพ็กเก็ตจะชัดเจนแล้วเมื่อถึงตารางเส้นทาง หากไฟร์วอลล์แยกต่างหากต้องตรวจสอบทราฟฟิกนั้น เราเตอร์ต้องส่งผ่านไฟร์วอลล์และเส้นทางขากลับต้องกลับมาทางเดิม การมีเส้นทางตรงจากเราเตอร์ไปยัง VLAN ของเซิร์ฟเวอร์จะนำไฟร์วอลล์ออกจากเส้นทางอย่างเงียบ ๆ แต่ยังคงไว้บนแผนภาพ

นี่คือความล้มเหลวที่ต้องมองหาในเครือข่ายที่มีอยู่ เส้นทางสองเส้นไปยังคำนำหน้าเดียวกัน เส้นหนึ่งผ่านไฟร์วอลล์และอีกเส้นตรง โดยเส้นตรงชนะด้วยความยาวคำนำหน้าหรือเมตริก อุโมงค์ยังส่งทราฟฟิกผ่านได้และการตรวจสอบที่คุณเชื่อมั่นไม่ได้เกิดขึ้น

อุโมงค์แบบอิงเส้นทางทำให้เห็นสิ่งนี้ เพราะอุโมงค์คืออินเทอร์เฟซที่กำหนดเส้นทางผ่านอุปกรณ์อื่นได้ อุโมงค์แบบอิงนโยบายเลือกทราฟฟิกด้วยตัวเลือก ซึ่งอาจทิ้งแพ็กเก็ตที่ถอดรหัสไว้บนเราเตอร์โดยไม่มีปลายทางอื่น

ถามคำถามห้าข้อเดียวกันกับผู้สมัครทั้งสองราย

ใบงานสั้น ๆ ชนะเมทริกซ์คุณสมบัติ เพราะทุกคำถามจับคู่กับเส้นหนึ่งบนแผนภาพ ถามผู้สมัครแต่ละราย

• รองรับ IKE เวอร์ชันใดวิธีพิสูจน์ตัวตนคู่และรูปแบบการกำหนดเส้นทางใดเวอร์ชันนี้รองรับจริงหรือไม่
• ที่ใดยอมรับ ESP และที่ใดอนุญาตหรือปฏิเสธกระแสที่ถอดรหัสแล้ว
• โฮสต์ภายในเรียนรู้คำนำหน้าระยะไกลได้อย่างไร และอีกฝั่งเรียนรู้ของคุณได้อย่างไร
• จุดปลายต้องรองรับปริมาณงาน จำนวนเซสชัน และพฤติกรรมการสลับเมื่อล้มเหลวแบบใดสำหรับภาระงานจริง
• ใครเป็นเจ้าของข้อมูลรับรองของคู่ นโยบาย และเส้นทางการกู้คืน เมื่ออุโมงค์คือสิ่งที่เสีย

pfSense จัดทำเอกสาร IPsec แบบอิงนโยบายและแบบอิงเส้นทางเป็นแบบจำลองแยกกันโดยมีข้อจำกัดแยกกัน และความแตกต่างนี้สำคัญกว่าฉลากบนกล่อง ตรวจสอบโหมดที่แน่นอนและการกรองทราฟฟิกที่ถอดรหัสแล้วที่รองรับในเวอร์ชันที่คุณจะปรับใช้จริง

หากผู้สมัครรายใดตอบคำถามข้อสองด้วยกฎที่คุณอ่านได้ไม่ได้ ก็ไม่ใช่เส้นขอบที่คุณต้องการ ไม่ว่าสิ่งอื่นจะทำได้ดีเพียงใด ขอข้อความของกฎแทนคำว่าตอบรับ และถือคำตอบที่คลุมเครือเป็นปฏิเสธ

ตรวจสอบเส้นทางด้วยการดักจับ ไม่ใช่ด้วยแผนภาพ

แผนภาพอธิบายเจตนาและการดักจับอธิบายพฤติกรรม ดังนั้นยืนยันว่าอินเทอร์เฟซใดบรรทุก ESP และอินเทอร์เฟซใดบรรทุกกระแสภายในก่อนจะเชื่อถืออย่างใดอย่างหนึ่ง

tcpdump -ni wan0 esp
tcpdump -ni lan0 host 10.60.4.20
ip xfrm policy list

หากการดักจับครั้งแรกแสดงว่า ESP กำลังมาถึงและครั้งที่สองแสดงแพ็กเก็ตภายในทางฝั่ง LAN จุดถอดรหัสก็อยู่ที่ที่คุณคิด หากแพ็กเก็ตภายในปรากฏบนเซกเมนต์ที่เลี่ยงไฟร์วอลล์ การกำหนดเส้นทางผิดไม่ว่าเนื้อหานโยบายจะว่าอย่างไร รายการ xfrm จะแสดงว่าติดตั้งตัวเลือกใดไว้และในทิศทางใด

ทำการดักจับซ้ำบนเส้นทางขากลับ เพราะการกำหนดเส้นทางแบบอสมมาตรเป็นเรื่องปกติเมื่อไซต์หนึ่งมีทางออกที่เป็นไปได้สองทาง อุโมงค์ที่ทำงานทิศทางหนึ่งและหมดเวลาในอีกทิศทางหนึ่งเกือบจะเป็นกรณีนี้เสมอ และการแก้ไขนโยบายฝั่งตรงข้ามใด ๆ ก็ไม่ช่วยแก้