Ikki xost o‘rtasida IPsec: himoya qayerdan boshlanib, qayerda tugaydi

Xostlar juftidagi himoya xavfsizlik assotsiatsiyasi tugaydigan joydan boshlanadi va bu shlyuz shaklidagi intuitsiya eng ko‘p o‘tkazib yuboradigan fakt. Ilova serveri va uning ma’lumotlar bazasi serveri o‘z suhbatlarini to‘g‘ridan-to‘g‘ri himoya qilishi mumkin, yo‘lda hech qanday masofaviy kirish konsentratori bo‘lmasa ham, va himoya chegarasi keyin xavfsizlik devorida emas, har bir xostning ichida joylashadi. Bu sizga tanlangan oqimlar uchun uchdan-uchgacha qamrovni beradi. Bu sizga qaysi qatorni kim o‘qiy olishi haqidagi qarorni bermaydi.

Chegara SA tugaydigan joyda

RFC 4301 transport rejimidagi xavfsizlik assotsiatsiyalarini xostlar jufti o‘rtasida uchdan-uchgacha himoya uchun odatda ishlatiladigan tartib sifatida tavsiflaydi. Bu ikki xost kalitlarni ushlab turadi va har biri o‘z paketlaridan qaysilari assotsiatsiyaga kirishini hal qiladi. Shlyuz tunnel butunlay boshqa joyda tugaydi va xostga qo‘shimcha ichki segment orqali yetib boradi, bu esa paket safari katta qismida shifrlangan bo‘lsa ham boshqa ishonch chegarasidir.

Xostdan xostga va transport rejimi esa sinonim emas. Ikki xost o‘zaro tunnel rejimidagi assotsiatsiyani xuddi shunday to‘g‘ri qurishi mumkin, shuning uchun avval rejimni tanlang, keyin oxirgi nuqtalarni tavsiflang. Ikkalasini ham loyiha eslatmasiga tengdosh manzillari yoniga yozing, chunki faqat rejimni biladigan taqrizchi ikkinchisini taxmin qiladi.

SPD himoyani, marshrut yo‘nalishni hal qiladi

Marshrutlash jadvali paket qayerga ketishini javob beradi. Xavfsizlik siyosati ma’lumotlar bazasi tanlangan trafik himoya chegarasidan qanday o‘tishini javob beradi va buni har bir yo‘nalish uchun o‘z tanlagichlari bilan amalga oshiradi. Bu ajratish ma’lumotlar bazasiga ishlaydigan marshrut so‘rov himoyalanganmi-yo‘qmi degani haqida hech narsani isbotlamasligining sababi va tuzilgan muzokara hech narsani isbotlamasligining sababidir, bu aniq ilova unga mos kelganmi-yo‘qmi degan masalada ham. Hisoblagichlarni taqqoslashdan oldin tanlagichlarni taqqoslang, chunki hisoblagichlar faqat shu qadar yetib borgan oqimlarni tavsiflaydi.

Linuxda ip xfrm policy bu yozuvlarni yo‘nalishi, ustuvorligi, tanlagichi va ruxsat berish, bloklash yoki tuzoq qo‘yish amali bilan chop etadi, ip xfrm state esa hosil bo‘lgan assotsiatsiyalar va ularning hisoblagichlarini ko‘rsatadi. Ikkalasini birga o‘qish kengroq ruxsat yozuvi birinchi mos kelgani uchun tunneldan jimgina chetlab o‘tgan oqimni topishning yo‘lidir.

Ustuvorlik tartibi siyosatning bir qismi, amalga oshirish tafsiloti emas. Ma’lumotlar bazasi portini himoya qilishi kerak bo‘lgan tor yozuv yuqori ustuvorlikka ega kengroq yozuvga yutqazadi va nosozlik siyosatga hech qachon murojaat qilinmagandek ko‘rinadi.

Transport rejimi IP sarlavhasini emas, keyingi qatlamni qamrab oladi

Transport rejimida ESP sarlavhasi IP sarlavhasi bilan yuk o‘rtasida joylashadi va o‘sha sarlavhaning manzil maydonlari yo‘ldagi har bir qurilma uchun ko‘rinib qoladi. Manzillar sir bo‘lmasa va yuk sir bo‘lsa, bu yaxshi. Ichki topologiyani ham yashirish kerak bo‘lsa, bu noto‘g‘ri tanlov, chunki asl sarlavhani faqat tunnel rejimi yangisining ichiga o‘raydi.

Ikkala rejim ham keyingi qatlamning bir nechta protokolini tashishi mumkin va ESP xost yuboradigan hamma narsani emas, tanlagichga mos keladiganini himoya qiladi.

Tanlov ulanishdan torroq

Bitta assotsiatsiya bir nechta oqimni tashishi mumkin, lekin faqat siyosat tanlaganlarini. Tengdoshlar identifikatorlarini, manba va manzil adreslarini, protokolni va mo‘ljallangan munosabatning xizmat doirasini yozib qo‘ying, so‘ng mos kelmaydigan trafik ochiq o‘tishi mumkinmi, himoyalanishi shartmi yoki assotsiatsiya mavjud bo‘lmaganda tashlanishi shartmi — buni alohida hal qiling. Aynan oxirgi qaror hayratlarni keltirib chiqaradi, chunki noto‘g‘ri manba uchun himoya talab qiladigan qoida sizning boshqaruv kirishingizni bosqinchini to‘sganidek samarali to‘sishi mumkin.

Ijroni o‘zgartirayotganda tasdiqlangan tarmoqdan tashqari yo‘lni saqlang va ikkala xost ham yetib bo‘lmaydigan bo‘lgandan keyin emas, kerak bo‘lishidan oldin sinab ko‘ring.

Mashina identifikatori ilova ruxsati emas

IPsec sozlangan tengdoshni autentifikatsiya qiladi va tanlangan paketlarni himoya qiladi. U biror kishi qaysi ma’lumotlar bazasi yozuvini tahrirlashi mumkinligini hal qilmaydi va ishonchli server identifikatorini barcha ilova imtiyozlarini berishga aylantirmaydi. Ilova hisoblari, rollari va avtorizatsiyasi aynan o‘z joyida qoladi va ilova darajasidagi TLS talabi tarmoq yo‘li allaqachon himoyalangan bo‘lsa ham o‘z maqsadini saqlaydi.

Loyihani mo‘ljallangan manbadan bitta amal va rad etilishi kerak bo‘lgan bitta amal bilan qabul qiling va zarur assotsiatsiya tuzilmasa nima bo‘lishini ham kiriting. Oddiy yetib borish testi sizga paketlar harakatlanishini aytadi; ular siz yozgan siyosat ostida harakatlanganini aytmaydi.