İki sunucu arasında IPsec: korumanın başladığı ve bittiği yer

Bir sunucu çiftinde koruma, güvenlik ilişkisinin sona erdiği yerde başlar ve ağ geçidi biçimli sezginin en sık kaçırdığı olgu tam olarak budur. Bir uygulama sunucusu ve veritabanı sunucusu kendi konuşmalarını doğrudan koruyabilir; yolda hiçbir uzaktan erişim yoğunlaştırıcısı olması gerekmez ve koruma sınırı o zaman güvenlik duvarında değil, her sunucunun içinde yer alır. Bunun sağladığı şey seçili akışlar için uçtan uca kapsamdır. Sağlamadığı şey ise kimin hangi satırı okuyabileceğine dair bir karardır.

Sınır, SA'nın sona erdiği yerdir

RFC 4301, taşıma modundaki güvenlik ilişkilerini bir sunucu çifti arasında uçtan uca koruma için tipik olarak kullanılan düzenleme olarak tanımlar. Bu iki sunucu anahtarları tutar ve her biri kendi paketlerinden hangilerinin ilişkiye gireceğine karar verir. Bir ağ geçidi tüneli tamamen başka bir yerde sona erer ve sunucuya ek bir iç segment üzerinden ulaşır; bu, paket yolculuğunun büyük bölümünde şifreli olsa bile farklı bir güven sınırıdır.

Sunucudan sunucuya ve taşıma modu ise eş anlamlı değildir. İki sunucu aralarında tünel modunda bir ilişkiyi aynı doğrulukla kurabilir, bu yüzden önce modu seçin sonra uç noktaları tanımlayın. İkisini de tasarım notuna eş adreslerinin yanına yazın, çünkü yalnızca modu bilen bir gözden geçiren diğerini varsayacaktır.

SPD korumaya, yol ise yöne karar verir

Bir yönlendirme tablosu paketin nereye gittiğini yanıtlar. Güvenlik politikası veritabanı ise seçili trafiğin koruma sınırını nasıl geçtiğini yanıtlar ve bunu her yön için kendi seçicileriyle yapar. Bu ayrım, veritabanına giden çalışan bir yolun isteğin korunup korunmadığına dair hiçbir şey kanıtlamamasının ve kurulmuş bir müzakerenin hiçbir şey kanıtlamamasının nedenidir; bu uygulamanın onunla eşleşip eşleşmediği konusunda da aynı şey geçerlidir. Sayaçları karşılaştırmadan önce seçicileri karşılaştırın, çünkü sayaçlar yalnızca o kadar ilerleyen akışları betimler.

Linux'ta ip xfrm policy bu girdileri yönleri, öncelikleri, seçicileri ve izin ver, engelle veya tuzak kur eylemleriyle yazdırırken ip xfrm state ortaya çıkan ilişkileri ve sayaçlarını gösterir. İkisini birlikte okumak, daha geniş bir izin girdisi önce eşleştiği için tüneli sessizce atlayan akışı bulmanın yoludur.

Öncelik sıralaması politikanın parçasıdır, bir uygulama ayrıntısı değildir. Veritabanı bağlantı noktasını koruması gereken dar bir girdi, daha yüksek öncelikli daha geniş bir girdiye yenilir ve arıza, politikaya hiç danışılmamış gibi görünür.

Taşıma modu IP başlığını değil, sonraki katmanı kapsar

Taşıma modunda ESP başlığı IP başlığı ile yük arasında yer alır ve o başlığın adres alanları yoldaki her cihaz tarafından görülebilir kalır. Adresler sır değilse ve yük sırsa bu iyidir. İç topolojiyi de gizlemeniz gerekiyorsa bu yanlış seçimdir, çünkü özgün başlığı yalnızca tünel modu yeni bir başlığın içine sarar.

Her iki mod da sonraki katmanın birkaç protokolünü taşıyabilir ve ESP, sunucunun gönderdiği her şeyi değil, seçicinin eşleştiğini korur.

Seçim bağlantıdan daha dardır

Tek bir ilişki birden çok akış taşıyabilir, ancak yalnızca politikanın seçtiği akışları. Eş kimliklerini, kaynak ve hedef adreslerini, protokolü ve amaçladığınız ilişkinin hizmet kapsamını kaydedin, ardından eşleşmeyen trafiğin açık gidip gidemeyeceğine, korunması mı yoksa ilişki kullanılamadığında düşürülmesi mi gerektiğine ayrı ayrı karar verin. Sürprizleri üreten son karardır, çünkü yanlış kaynak için koruma isteyen bir kural, kendi yönetim erişiminizi bir davetsiz misafiri engellediği kadar etkili biçimde engelleyebilir.

Yaptırımı değiştirirken onaylı bir bant dışı yolu koruyun ve ona ihtiyaç duymadan önce test edin, iki sunucu da erişilemez hale geldikten sonra değil.

Makine kimliği uygulama izni değildir

IPsec yapılandırılmış bir eşi doğrular ve seçili paketleri korur. Bir kişinin hangi veritabanı kaydını düzenleyebileceğine karar vermez ve güvenilir bir sunucu kimliğini tüm uygulama ayrıcalıklarının verilmesine dönüştürmez. Uygulama hesapları, roller ve yetkilendirme tam olarak oldukları yerde kalır ve uygulama düzeyindeki bir TLS gereksinimi, ağ yolu zaten korunuyor olsa bile kendi amacını korur.

Tasarımı amaçlanan kaynaktan bir işlem ve reddedilmesi gereken bir işlemle kabul edin ve gerekli ilişki kurulamadığında ne olduğunu da ekleyin. Sıradan bir erişilebilirlik testi size paketlerin hareket ettiğini söyler; yazdığınız politika altında hareket ettiklerini söylemez.