Kung saan nagtatapos ang VPN ng iyong site ang nagtatakda kung ano ang sinusuri

Ang tunnel sa pagitan ng mga site ay nagtatago ng isang detalye na nagtatakda ng buong disenyo ng pagsusuri: ang eksaktong device kung saan lumilitaw ang panloob na packet bilang malinaw na teksto. Lahat ng bago ang puntong iyon ay nakakakita ng ESP, at lahat ng pagkatapos nito ay nakakakita ng ordinaryong IP na kayang mahuli ng isang patakaran. Ilagay ang hangganan sa maling lugar at ang firewall na binayaran mo ay nagiging router na may lisensya. Ang gabay sa ibaba ay gumuhit muna ng linya at saka lamang nagtatanong kung aling device ang dapat magmay-ari nito.

Gumuhit ng linya sa lugar kung saan tumitigil ang pag-encrypt ng packet

Sa tunnel mode, ang orihinal na packet ay ini-encrypt at binabalot sa bagong panlabas na IP header na naka-address sa peer gateway. Ang panlabas na packet ay nagdadala ng protocol 50 para sa ESP, kaya kahit anong device sa pagitan ng dalawang gateway ay maaaring i-route ito nang hindi binabasa ang mga panloob na address. Ang unang device na nagde-decrypt ang hangganan ng seguridad, at ito rin ang unang device na makakapagpatupad ng patakaran sa panloob na daloy. Lahat ng nasa ibaba ng puntong iyon ay ordinaryong routing.

Markahan ang tatlong bagay sa diagram: ang panlabas na endpoint na tumatanggap ng ESP, ang mga protektadong network na pinangalanan sa patakaran, at ang susunod na hop na tinatahak ng na-decrypt na packet. Kung ang tatlong ito ay wala sa iisang device, mayroon kang handoff na kailangang idisenyo, hindi isang control point.

Tinatawag ng RFC 4301 ang nagde-decrypt na device na security gateway at itinuturing ang patakaran nito na bahagi ng hangganan. Ito ay mas kapaki-pakinabang na balangkas kaysa sa kategorya ng produkto, dahil ang device ay hangganan kapag hawak nito ang patakaran, hindi kapag sinasabi ng datasheet nito na firewall.

Firewall bilang dulo: isang device, isang policy point

Kapag tinapos ng firewall ang tunnel, kailangan lang ng router sa itaas na ihatid ang ESP dito. Ini-authenticate ng firewall ang peer, nagde-decrypt, at pagkatapos ay inilalapat ang mga karaniwang patakaran nito sa panloob na packet papunta sa VLAN ng mga server. Nagbibigay ito ng isang lugar para basahin ang patakaran at isang lugar para basahin ang mga log, na karaniwang hinihingi ng audit.

Suriin nang hiwalay ang dalawang pahintulot. Ang pagpayag sa IKE at ESP patungo sa device ay hindi kaparehong patakaran sa pagpayag sa isang malayong site na maabot ang isang server, at ang firewall na tumatanggap ng tunnel habang hinaharangan ang panloob na daloy ay mukhang eksaktong sirang tunnel mula sa kabilang dulo.

Ang halaga ay ang firewall ay nasa landas na ngayon ng lahat ng trapiko ng site, kaya ang throughput, mga limitasyon ng session at pag-uugali nito sa failover ay nagiging pag-uugali ng tunnel mismo. Sukatin ito para sa pinagsamang daloy ng site, hindi para sa profile ng remote access na maaaring dahilan ng pagbili nito.

Router bilang dulo: nagiging opsyonal ang inspection hop

Kapag nagde-decrypt ang router, malinaw na ang packet pagdating sa routing table. Kung dapat suriin ng hiwalay na firewall ang trapikong iyon, kailangang ipadala ito ng router sa pamamagitan ng firewall at ang pabalik na landas ay dapat bumalik sa parehong paraan. Ang direktang ruta mula sa router patungo sa VLAN ng mga server ay tahimik na nag-aalis ng firewall sa landas habang iniwan ito sa diagram.

Ito ang kabiguan na dapat hanapin sa umiiral na network: dalawang ruta patungo sa parehong prefix, isa sa pamamagitan ng firewall at isa direktang, at ang direktang nananalo sa haba ng prefix o metric. Dumadaan pa rin ang trapiko sa tunnel at ang pagsusuring pinaniniwalaan mo ay hindi nangyayari.

Ang mga tunnel na nakabatay sa ruta ay ginagawang nakikita ito, dahil ang tunnel ay isang interface na maaaring i-route sa ibang device. Ang mga tunnel na nakabatay sa patakaran ay pumipili ng trapiko gamit ang selector, na maaaring mag-iwan ng na-decrypt na packet sa router nang walang ibang destinasyon.

Itanong sa dalawang kandidato ang parehong limang tanong

Ang maikling worksheet ay nananalo sa feature matrix, dahil bawat tanong ay tumutugma sa isang linya sa diagram. Itanong sa bawat kandidato:

• Aling mga bersyon ng IKE, aling mga paraan ng authentication ng peer at mga modelo ng routing ang talagang sinusuportahan ng release na ito?
• Saan tinatanggap ang ESP, at saan pinapayagan o tinatanggihan ang na-decrypt na daloy?
• Paano natututuhan ng mga lokal na host ang malalayong prefix, at paano natututuhan ng kabilang panig ang sa iyo?
• Anong throughput, bilang ng session at pag-uugali sa failover ang dapat tiisin ng endpoint para sa tunay na workload?
• Sino ang may-ari ng mga kredensyal ng peer, ng patakaran at ng recovery path kapag ang tunnel ang sira?

Dinodokumento ng pfSense ang IPsec na nakabatay sa patakaran at nakabatay sa ruta bilang magkahiwalay na modelo na may magkahiwalay na limitasyon, at ang pagkakaibang ito ay mas mahalaga kaysa sa label sa kahon. Suriin ang eksaktong mode at ang sinusuportahang pag-filter ng na-decrypt na trapiko sa release na talagang ide-deploy mo.

Kung hindi masagot ng isang kandidato ang ikalawang tanong gamit ang patakarang mababasa mo, hindi iyon ang hangganang gusto mo, gaano man kahusay ang iba nitong ginagawa. Hingin ang teksto ng patakaran sa halip na oo, at ituring na hindi ang malabong sagot.

I-verify ang landas gamit ang capture, hindi ang diagram

Ang diagram ay naglalarawan ng intensyon at ang capture ay naglalarawan ng pag-uugali, kaya tiyakin kung aling interface ang nagdadala ng ESP at alin ang panloob na daloy bago magtiwala sa alinman.

tcpdump -ni wan0 esp
tcpdump -ni lan0 host 10.60.4.20
ip xfrm policy list

Kung ang unang capture ay nagpapakitang dumarating ang ESP at ang pangalawa ay nagpapakita ng panloob na packet sa panig ng LAN, ang decryption point ay nasa lugar na iniisip mo. Kung lumitaw ang panloob na packet sa segment na lumalampas sa firewall, mali ang routing, anuman ang sabihin ng teksto ng patakaran. Ipapakita naman ng listahan ng xfrm kung aling mga selector ang naka-install at sa aling direksyon.

Ulitin ang capture sa pabalik na landas, dahil karaniwan ang asymmetric routing kapag may dalawang posibleng labasan ang isang site. Ang tunnel na gumagana sa isang direksyon at nag-time out sa kabilang direksyon ay halos palaging ito, at walang pag-edit ng patakaran sa kabilang panig ang makakapag-ayos nito.