IPsec ESP: ano ang dinadala nito at paano patunayan na dumadaloy ito

Dinadala ng ESP ang trapiko sa isang IPsec VPN, at ang runbook nito ay nagsisimula sa isang tuntunin: basahin ang asosasyon ng seguridad bago mo baguhin ang isang patakaran. Karamihan sa hindi maipaliwanag na pag-uugali ng ESP ay bumabalik sa isang tagapili na hindi tumugma, isang mode na ipinagpalagay sa halip na binasa, o isang counter na walang sinumang tumingin habang ipinapadala ang isang daloy. Ang tatlong hakbang sa ibaba ay nagtatatag kung ano ang nagdadala ng ano, nagpapatunay na ginagamit ito ng isang daloy, at nag-iiwan ng pagbabalik na hindi umaasa sa memorya. Ang bawat hakbang ay gumagawa ng isang obserbasyon na sulit isulat.

Kilalanin ang mga patlang bago mo basahin ang mga ito

Naglalagay ang ESP ng header sa harap ng protektadong datos at trailer sa likod nito. Dinadala ng header ang isang index ng parameter ng seguridad na tumutukoy kung aling asosasyon ang dapat gamitin ng tatanggap, isang sequence number para sa pagtuklas ng pag-uulit, at sa trailer ang padding na nagpapanatili ng payload na nakahanay para sa cipher. Sinasabi ng patlang ng susunod na header sa trailer kung ano ang protektadong nilalaman, at sa gayon alam ng tatanggap kung ano ang na-decapsulate nito.

Binabago ng mode kung ano ang nasa loob ng proteksyong iyon. Sa tunnel mode, ang protektadong materyal ay isang kumpletong panloob na IP packet, at dinadala ito ng bagong panlabas na header sa pagitan ng mga dulo. Sa transport mode, binabalot ng proteksyon ang payload ng itaas na layer ng isang umiiral na packet, kaya walang pangalawang IP header na bubuksan. Kung aling mode ang ginagamit ay katotohanan ng configuration, hindi usapin ng interpretasyon. Basahin ito mula sa entry ng estado sa halip na hulaan mula sa diagram.

Wala sa dalawang mode ang nagtatago ng panlabas na pag-address na kailangang maghatid ng packet. Iyon ay katangian ng disenyo at hindi kakulangan, at iyon ang dahilan kung bakit ang isang tagamasid sa gitna ay nakikita pa rin kung aling dalawang address ang nag-uusap kahit na ang payload ay malabo.

Hakbang isa: basahin ang estado, pagkatapos ang patakaran

Ang mga entry ng estado ay may hawak ng mga key at counter; ang mga entry ng patakaran ay may hawak ng mga tagapili na nagpapasya kung ano ang pinapayagang gumamit sa kanila. Sa Linux, parehong nakikita nang walang paghuli ng packet, at ang pagbasa sa ganoong pagkakasunod-sunod ay nagpapanatili ng dalawang tanong na hiwalay.

ip xfrm state
ip xfrm policy

Sa output ng estado, tingnan ang pinagmulan at patutunguhan ng asosasyon, ang mode, at kung ang encapsulation ay nagpapakita ng mga UDP port. Ang mga port na iyon ay nangangahulugang ginagamit ang NAT traversal, na nagbabago sa kung ano ang dapat pahintulutan ng firewall sa gitna, ngunit hindi sa kung aling mga tagapili o key ang nalalapat sa mga dulo.

Pagkatapos ay basahin ang mga tagapili sa patakaran. Ang tagapiling nagbabanggit ng mas makitid na prefix kaysa sa trapikong sinusubukan mo ang pinakakaraniwang dahilan kung bakit ang gumaganang tunnel ay tila binabalewala ang isang daloy, at ang tagapili para sa maling protocol ay nagbibigay ng parehong katahimikan.

Ang mga tool ng vendor ay naglilimbag ng parehong impormasyon sa mas madaling anyo. ipsec statusall sa strongSwan, inililista nito ang mga child association, ang kanilang mga tagapili at ang kanilang byte counter, na kadalasang mas mabilis kaysa sa pagbasa ng raw xfrm output kapag alam mo na kung aling child ang titingnan.

Hakbang dalawa: patunayan na ang isang daloy ay nagpapagalaw ng mga counter

May kahulugan lamang ang mga counter kung alam mo kung ano ang dapat na nagpagalaw sa kanila, kaya pumili ng pinagmulan at patutunguhan na tiyak na saklaw ng tagapili at magpadala ng isang walang pinsalang kahilingan. Pagkatapos ay basahin muli ang parehong entry at ihambing.

ip -s xfrm state
tcpdump -ni any esp

Dalawang pagbasa ang nagkukuwento ng magkaibang kuwento. Ang mga packet na tumataas sa palabas na bahagi ngunit hindi kailanman sa papasok na bahagi ay tumutukoy sa problema sa pagpapasa o daan ng pagbabalik at hindi sa key, dahil na-encapsulate ang packet at umalis. Kung walang counter na gumalaw, hindi kailanman tumugma ang trapiko sa patakaran, at ang tagapili ang lugar na dapat tingnan.

Kinukumpirma ng paghuli sa parehong hakbang ang encapsulation sa kawad, kabilang kung ang mga panlabas na packet ay ESP o ESP na naka-encapsulate sa UDP. Ipinapakita rin nito sa iyo ang mga address na aktuwal na nagdala ng daloy, at ang mga iyon ay kung minsan ay naiiba sa mga nasa configuration na binabasa mo.

Hakbang tatlo: baguhin ang isang bagay at panatilihin ang pagbabalik

Itala ang pinagmulan, patutunguhan, mode, mga tagapili at counter ng asosasyon bago ka mag-edit ng anuman. Kung ang isang pagbabago ay nagpapalala ng mga bagay, ang talang iyon ang nagpapahintulot sa iyo na ibalik ang dating estado sa halip na muling buuin ang gumaganang configuration mula sa haka-haka. Tumatagal ng isang minuto ang talang iyon at nagtitipid ng isang oras mamaya. Ito rin ang tanging artifact na nananatili pagkatapos ng taong gumawa ng pagbabago.

Baguhin ang isang tagapili o isang parameter, i-reload ito, at ulitin ang hakbang dalawa sa parehong daloy. Ang pagbura ng asosasyon ay nagbabagsak sa bawat daloy na gumagamit nito, kaya ang naka-target na pag-edit at pag-reload ng child ay halos palaging mas mabuti kaysa sa paglilinis ng estado para makita kung ano ang mangyayari.

Ang pagbabalik para sa pag-edit ng tagapili ay ang pagpapanumbalik ng dating patakaran at pag-reload nito, na may pagtukoy na maaaring kailanganin ng kabilang dulo ang tugmang pagbabago kung ang tagapili ay negosyado sa halip na lokal. Isulat ang dependency na iyon habang sariwa pa, dahil ang kalahating naipanumbalik na pares ay mas mahirap isipin kaysa sa alinman sa dalawang huling estado.

Panghuli, panatilihing tapat ang saklaw. Ang dumadaloy na asosasyon ng ESP ay nagpapatunay na pinoprotektahan at inihahatid ng dalawang gateway ang segment, at wala itong sinasabi tungkol sa kung ang aplikasyon sa itaas ay nagpapatunay sa mga gumagamit nito o nag-e-encrypt sa itinatago nito. Iyon ay magkahiwalay na kontrol na may magkahiwalay na ebidensiya, at ang runbook ay natapos lamang kapag naulit ito ng susunod na tao mula sa mga tala.