Sitenizin VPN'i nerede sonlanıyorsa denetlenen şeyi o belirler

Siteler arası bir tünel, tüm denetim tasarımını belirleyen bir ayrıntıyı gizler: iç paketin açık metin olarak ortaya çıktığı tam cihaz. Bu noktadan önceki her şey ESP görür, sonraki her şey ise bir kuralın yakalayabileceği sıradan IP görür. Sınırı yanlış yere koyarsanız, parasını ödediğiniz güvenlik duvarı lisanslı bir yönlendiriciye dönüşür. Aşağıdaki anlatım önce çizgiyi çizer ve ancak ondan sonra hangi kutunun onu sahiplenmesi gerektiğini sorar.

Çizgiyi paketin artık şifreli olmadığı yere çizin

Tünel modunda özgün paket şifrelenir ve eş geçide adreslenmiş yeni bir dış IP başlığına sarılır. Bu dış paket ESP için 50 numaralı protokolü taşır, böylece iki geçit arasındaki her cihaz iç adresleri okumadan onu yönlendirebilir. Şifreyi çözen ilk cihaz güvenlik sınırıdır ve iç akışa politika uygulayabilen ilk cihaz da odur. Bu noktanın aşağısındaki her şey olağan yönlendirmedir.

Çizimde üç şeyi işaretleyin: ESP'yi kabul eden dış uç nokta, politikada adı geçen korunan ağlar, ve şifresi çözülmüş paketin attığı sonraki adım. Bu üçü aynı cihazda değilse, tek bir denetim noktası değil, tasarlanması gereken bir devir teslim var demektir.

RFC 4301, şifreyi çözen cihaza güvenlik geçidi der ve politikasını sınırın parçası sayar. Bu, ürün kategorisinden daha kullanışlı bir çerçevedir, çünkü bir cihaz politikayı elinde tuttuğunda sınırdır, veri sayfasında güvenlik duvarı yazdığında değil.

Güvenlik duvarı sonlandırması: tek cihaz, tek politika noktası

Güvenlik duvarı tüneli sonlandırdığında, üstteki yönlendiricinin yalnızca ESP'yi ona teslim etmesi gerekir. Güvenlik duvarı eşi doğrular, şifreyi çözer ve ardından sunucu VLAN'ına giden yolda iç pakete olağan kurallarını uygular. Böylece politikayı okumak için tek yer ve günlükleri okumak için tek yer olur; bir denetimin genellikle istediği de budur.

İki izni ayrı ayrı kontrol edin. Cihaza IKE ve ESP'ye izin vermek, uzak bir sitenin bir sunucuya ulaşmasına izin vermekle aynı kural değildir ve tüneli kabul edip iç akışı engelleyen bir güvenlik duvarı, karşı uçtan tam olarak bozuk bir tünel gibi görünür.

Bedeli, güvenlik duvarının artık tüm site trafiğinin yolu üzerinde durmasıdır; bu yüzden işlem hacmi, oturum sınırları ve yedekleme davranışı tünelin kendi davranışı hâline gelir. Onu, belki de satın alındığı uzaktan erişim profiline göre değil, birleşik site akışlarına göre boyutlandırın.

Yönlendirici sonlandırması: denetim adımı isteğe bağlı hâle gelir

Yönlendirici şifreyi çözdüğünde, paket yönlendirme tablosuna ulaştığında zaten açıktır. Ayrı bir güvenlik duvarının bu trafiği denetlemesi gerekiyorsa, yönlendirici onu güvenlik duvarından geçirmek zorundadır ve dönüş yolu aynı şekilde geri gelmelidir. Yönlendiriciden sunucu VLAN'ına doğrudan bir rota, güvenlik duvarını sessizce yoldan çıkarır ama çizimde bırakır.

Mevcut bir ağda aranacak arıza budur: aynı öneke iki rota, biri güvenlik duvarından geçen, diğeri doğrudan; doğrudan olan önek uzunluğu veya metrik sayesinde kazanır. Tünel hâlâ trafik geçirir ve inandığınız denetim gerçekleşmez.

Rota tabanlı tüneller bunu görünür kılar, çünkü tünel başka bir cihaz üzerinden yönlendirebileceğiniz bir arayüzdür. Politika tabanlı tüneller trafiği seçiciyle seçer; bu da şifresi çözülmüş paketi yönlendiricide başka gidecek yer olmadan bırakabilir.

Her iki adaya da aynı beş soruyu sorun

Kısa bir çalışma sayfası bir özellik matrisini yener, çünkü her soru çizimdeki bir çizgiye karşılık gelir. Her adaya sorun:

• Hangi IKE sürümlerini, hangi eş kimlik doğrulama yöntemlerini ve yönlendirme modellerini bu sürüm gerçekten destekliyor?
• ESP nerede kabul ediliyor ve şifresi çözülmüş akış nerede izin veriliyor ya da reddediliyor?
• Yerel makineler uzak önekleri nasıl öğreniyor ve karşı taraf sizinkileri nasıl öğreniyor?
• Uç nokta gerçek iş yükü için hangi işlem hacmini, oturum sayısını ve yedekleme davranışını kaldırmalı?
• Bozuk olan şey tünel olduğunda eş kimlik bilgilerinin, politikanın ve kurtarma yolunun sahibi kim?

pfSense, politika tabanlı ve rota tabanlı IPsec'i ayrı kısıtları olan ayrı modeller olarak belgeler ve bu fark kutunun üzerindeki etiketten daha önemlidir. Gerçekten devreye alacağınız sürümde tam modu ve şifresi çözülmüş trafiğin desteklenen filtrelemesini kontrol edin.

Bir aday ikinci soruyu okuyabildiğiniz bir kuralla yanıtlayamıyorsa, başka her şeyi ne kadar iyi yaparsa yapsın istediğiniz sınır o değildir. Bir evet yerine kural metnini isteyin ve belirsiz bir yanıtı hayır olarak değerlendirin.

Yolu çizimle değil, yakalamayla doğrulayın

Bir çizim niyeti, yakalama ise davranışı tanımlar; bu yüzden ikisine de güvenmeden önce hangi arayüzün ESP'yi, hangisinin iç akışı taşıdığını doğrulayın.

tcpdump -ni wan0 esp
tcpdump -ni lan0 host 10.60.4.20
ip xfrm policy list

İlk yakalama ESP'nin geldiğini, ikincisi iç paketin LAN tarafında olduğunu gösteriyorsa şifre çözme noktası düşündüğünüz yerdedir. İç paket güvenlik duvarını atlayan bir segmentte görünüyorsa, politika metni ne derse desin yönlendirme yanlıştır. xfrm listesi ardından hangi seçicilerin kurulu olduğunu ve hangi yönde olduğunu gösterir.

Yakalamayı dönüş yolunda yineleyin, çünkü bir sitenin iki olası çıkışı olduğunda asimetrik yönlendirme yaygındır. Bir yönde çalışıp diğerinde zaman aşımına uğrayan tünel neredeyse her zaman budur ve karşı tarafta yapılacak hiçbir politika düzenlemesi bunu düzeltmez.