Де закінчується VPN вашого сайту, вирішує, що саме перевіряється

Пристрій, який розшифровує трафік між майданчиками, вирішує, що міжмережевий екран ще може перевірити. Спочатку намалюйте межу, а вже потім вибирайте маршрутизатор або міжмережевий екран.

Тунель між майданчиками приховує деталь, яка вирішує весь проєкт перевірки: точний пристрій, на якому внутрішній пакет з’являється у відкритому вигляді. Усе до цієї точки бачить ESP, а все після неї бачить звичайний IP, який може впіймати правило. Поставте межу не туди, і міжмережевий екран, за який ви заплатили, стає маршрутизатором із ліцензією. Розбір нижче спочатку малює лінію і лише потім питає, який пристрій має нею володіти.

Проведіть лінію там, де пакет перестає бути зашифрованим

У режимі тунелю початковий пакет шифрується й загортається в новий зовнішній заголовок IP, адресований шлюзу партнера. Цей зовнішній пакет несе протокол 50 для ESP, тому будь-який пристрій між двома шлюзами може його маршрутизувати, не читаючи внутрішні адреси. Перший пристрій, який розшифровує, — це межа безпеки, і він же перший, хто може застосувати політику до внутрішнього потоку. Усе нижче цієї точки — звичайна маршрутизація.

Позначте на схемі три речі: зовнішню кінцеву точку, яка пропускає ESP, захищені мережі, названі в політиці, і наступний перехід, який робить розшифрований пакет. Якщо ці три не на одному пристрої, вам треба проєктувати передачу, а не єдину точку контролю.

RFC 4301 називає пристрій, що розшифровує, шлюзом безпеки й розглядає його політику як частину межі. Це корисніша рамка, ніж категорія продукту, бо пристрій є межею тоді, коли він тримає політику, а не тоді, коли в його специфікації написано «міжмережевий екран».

Міжмережевий екран як термінатор: один пристрій, одна точка політики

Коли екран завершує тунель, маршрутизатору вище залишається лише доставити йому ESP. Екран перевіряє справжність партнера, розшифровує й потім застосовує свої звичайні правила до внутрішнього пакета на шляху до VLAN серверів. Так з’являється одне місце для читання політики й одне місце для читання журналів, чого зазвичай і вимагає аудит.

Перевіряйте два дозволи окремо. Дозволити IKE та ESP до пристрою — це не те саме правило, що дозволити віддаленому майданчику дістатися сервера, і екран, який приймає тунель, блокуючи внутрішній потік, з далекого кінця виглядає точно як зламаний тунель.

Ціна в тому, що екран тепер стоїть на шляху всього трафіку майданчика, тож його пропускна здатність, ліміти сесій і поведінка під час відмови стають поведінкою самого тунелю. Підбирайте його під сумарні потоки майданчика, а не під профіль віддаленого доступу, для якого його, можливо, купили.

Маршрутизатор як термінатор: перевірний перехід стає необов’язковим

Коли розшифровує маршрутизатор, пакет уже відкритий, коли доходить до таблиці маршрутизації. Якщо окремий екран має перевіряти цей трафік, маршрутизатор мусить надіслати його через екран, і зворотний шлях має повернутися так само. Прямий маршрут від маршрутизатора до VLAN серверів тихо прибирає екран зі шляху, залишаючи його на схемі.

Це та несправність, яку треба шукати в наявній мережі: два маршрути до одного префікса, один через екран і один прямий, і прямий виграє за довжиною префікса або метрикою. Тунель далі пропускає трафік, а перевірки, у яку ви вірите, не відбувається.

Тунелі на основі маршрутів роблять це видимим, бо тунель — це інтерфейс, через який можна маршрутизувати через інший пристрій. Тунелі на основі політик вибирають трафік за селектором, і розшифрований пакет може залишитися на маршрутизаторі без іншого шляху.

Поставте обом кандидатам ті самі п’ять запитань

Короткий опитувальний аркуш кращий за матрицю функцій, бо кожне запитання відповідає лінії на схемі. Запитайте кожного кандидата:

  • Які версії IKE, які методи автентифікації партнерів і моделі маршрутизації ця версія справді підтримує?
  • Де допускається ESP і де дозволений або заборонений розшифрований потік?
  • Як локальні вузли дізнаються про віддалені префікси, а як протилежна сторона дізнається про ваші?
  • Яку пропускну здатність, кількість сесій і поведінку під час відмови має витримати кінцева точка для реального навантаження?
  • Хто відповідає за облікові дані партнера, політику й шлях відновлення, коли зламано саме тунель?

pfSense описує IPsec на основі політик і IPsec на основі маршрутів як окремі моделі з окремими обмеженнями, і ця різниця важливіша за етикетку на коробці. Перевірте точний режим і підтримувану фільтрацію розшифрованого трафіку в тій версії, яку ви справді розгорнете.

Якщо кандидат не може відповісти на друге запитання правилом, яке можна прочитати, це не та межа, яка вам потрібна, хоч би як добре він робив усе інше. Просіть текст правила, а не «так», і нечітку відповідь вважайте відмовою.

Перевірте шлях захопленням, а не схемою

Схема описує задум, а захоплення описує поведінку, тож підтвердьте, який інтерфейс несе ESP, а який — внутрішній потік, перш ніж вірити будь-якому з них.

tcpdump -ni wan0 esp
tcpdump -ni lan0 host 10.60.4.20
ip xfrm policy list

Якщо перше захоплення показує ESP, що надходить, а друге — внутрішній пакет з боку LAN, точка розшифрування там, де ви думаєте. Якщо внутрішній пакет з’являється на сегменті в обхід екрана, маршрутизація неправильна, що б не казав текст політики. Перелік xfrm тоді показує, які селектори встановлені й у якому напрямку.

Повторіть захоплення на зворотному шляху, бо асиметрична маршрутизація звичайна, коли майданчик має два можливі виходи. Тунель, який працює в один бік і завершується тайм-аутом в інший, майже завжди саме це, і жодне редагування політики на далекому боці це не виправить.

Схожі статті