Saytingiz VPN qayerda tugashi nima tekshirilishini belgilaydi

Saytlar orasidagi tunnel butun tekshiruv dizaynini belgilaydigan bir tafsilotni yashiradi: ichki paket ochiq matn sifatida ko'rinadigan aynan o'sha qurilma. Bu nuqtadan oldingi hamma narsa ESP ko'radi, undan keyingi hamma narsa esa qoida ushlay oladigan oddiy IP ko'radi. Chegarani noto'g'ri joyga qo'ying, pulli sotib olgan xavfsizlik devoringiz litsenziyali marshrutizatorga aylanadi. Quyidagi yo'riqnoma avval chiziqni chizadi, keyin qaysi qurilma unga egalik qilishini so'raydi.

Chiziqni paket endi shifrlanmaydigan joyga chizing

Tunnel rejimida asl paket shifrlanadi va hamkor shlyuzga manzillangan yangi tashqi IP sarlavhasiga o'raladi. Bu tashqi paket ESP uchun 50 protokolini tashiydi, shuning uchun ikki shlyuz orasidagi har qanday qurilma ichki manzillarni o'qimasdan uni marshrutlashi mumkin. Shifrni ochadigan birinchi qurilma xavfsizlik chegarasi bo'lib, ichki oqimga siyosat qo'llay oladigan birinchi qurilma ham. Bu nuqtadan pastdagi hamma narsa oddiy marshrutlashdir.

Rasmda uchta narsani belgilang: ESPni qabul qiladigan tashqi so'nggi nuqta, siyosatda nomlangan himoyalangan tarmoqlar, va shifr ochilgan paketning keyingi sakrashi. Agar bu uchtasi bitta qurilmada bo'lmasa, loyihalash kerak bo'lgan uzatish bor, yagona nazorat nuqtasi emas.

RFC 4301 shifrni ochadigan qurilmani xavfsizlik shlyuzi deb ataydi va uning siyosatini chegara qismi deb biladi. Bu mahsulot toifasidan foydaliroq asos, chunki qurilma siyosatni o'zida saqlaganda chegara bo'ladi, ma'lumot varaqasida xavfsizlik devori deb yozilganda emas.

Xavfsizlik devori tugash nuqtasi sifatida: bitta qurilma, bitta siyosat nuqtasi

Xavfsizlik devori tunnelni tugatganda, yuqoridagi marshrutizator unga faqat ESPni yetkazishi kerak. Devor hamkorning haqiqiyligini tekshiradi, shifrni ochadi, so'ng server VLANiga ketayotgan ichki paketga odatdagi qoidalarini qo'llaydi. Bu siyosatni o'qish uchun bitta joy va jurnallarni o'qish uchun bitta joy beradi, audit odatda shuni talab qiladi.

Ikki ruxsatni alohida tekshiring. Qurilmaga IKE va ESP ruxsat berish uzoq saytning serverga yetishiga ruxsat berish bilan bir xil qoida emas, tunnelni qabul qilib ichki oqimni to'sadigan devor esa uzoq tomondan aynan buzilgan tunnelga o'xshaydi.

Narx shundaki, devor endi butun sayt trafigi yo'lida turadi, shuning uchun uning o'tkazuvchanligi, sessiya cheklovlari va nosozlikda almashtirish xatti-harakati tunnelning o'z xatti-harakatiga aylanadi. Uni birlashtirilgan sayt oqimlariga qarab o'lchang, ehtimol sotib olingan masofaviy kirish profiliga qarab emas.

Marshrutizator tugash nuqtasi sifatida: tekshiruv sakrashi ixtiyoriy bo'ladi

Marshrutizator shifrni ochganda, paket marshrutlash jadvaliga yetganda allaqachon ochiq. Agar alohida devor bu trafikni tekshirishi kerak bo'lsa, marshrutizator uni devordan o'tkazishi kerak va qaytish yo'li ham xuddi shunday qaytishi kerak. Marshrutizatordan server VLANiga to'g'ridan-to'g'ri marshrut devorni yo'ldan jimgina olib tashlaydi, lekin rasmda qoldiradi.

Mavjud tarmoqda qidirilishi kerak bo'lgan nosozlik shu: bir prefiksga ikki marshrut, biri devordan, biri to'g'ridan-to'g'ri, to'g'ridan-to'g'risi prefiks uzunligi yoki metrika bo'yicha yutadi. Tunnel baribir trafik o'tkazadi va siz ishonayotgan tekshiruv bo'lib o'tmaydi.

Marshrutga asoslangan tunnellar buni ko'rinadigan qiladi, chunki tunnel boshqa qurilma orqali marshrutlash mumkin bo'lgan interfeysdir. Siyosatga asoslangan tunnellar trafikni selektor bilan tanlaydi, bu esa shifr ochilgan paketni marshrutizatorda boshqa joy qolmasdan qoldirishi mumkin.

Ikkala nomzodga ham bir xil besh savolni bering

Qisqa ish varaqasi funksiyalar matritsasidan yaxshiroq, chunki har bir savol rasmda bitta chiziqqa to'g'ri keladi. Har bir nomzoddan so'rang:

• Qaysi IKE versiyalari, qaysi hamkor autentifikatsiyasi usullari va marshrutlash modellari bu versiya tomonidan haqiqatan qo'llab-quvvatlanadi?
• ESP qayerda qabul qilinadi va shifr ochilgan oqim qayerda ruxsat etiladi yoki taqiqlanadi?
• Mahalliy xostlar uzoq prefikslarni qanday o'rganadi va qarshi tomon siznikilarni qanday o'rganadi?
• Haqiqiy yuk uchun tugash nuqtasi qanday o'tkazuvchanlik, qancha sessiya va nosozlikda almashtirishning qanday xatti-harakatiga chidashi kerak?
• Buzilgan narsa tunnel bo'lganda hamkorning hisob ma'lumotlari, siyosat va tiklash yo'li kimga tegishli?

pfSense siyosatga asoslangan va marshrutga asoslangan IPsecni alohida cheklovlarga ega alohida modellar sifatida hujjatlashtiradi va bu farq qutidagi yorliqdan muhimroq. Haqiqatan joriy qiladigan versiyangizda aniq rejimni va shifr ochilgan trafikning qo'llab-quvvatlanadigan filtrlashini tekshiring.

Agar nomzod ikkinchi savolga siz o'qiy oladigan qoida bilan javob bera olmasa, bu siz xohlagan chegara emas, qolganini qanchalik yaxshi qilsa ham. Ha o'rniga qoida matnini so'rang va noaniq javobni yo'q deb qabul qiling.

Yo'lni rasm bilan emas, ushlash bilan tekshiring

Rasm niyatni, ushlash xatti-harakatni tasvirlaydi, shuning uchun ikkalasiga ishonishdan oldin qaysi interfeys ESPni, qaysi biri ichki oqimni tashishini tasdiqlang.

tcpdump -ni wan0 esp
tcpdump -ni lan0 host 10.60.4.20
ip xfrm policy list

Birinchi ushlash ESP kelayotganini, ikkinchisi ichki paketning LAN tomonida ekanini ko'rsatsa, shifr ochish nuqtasi siz o'ylagan joyda. Ichki paket devorni chetlab o'tadigan segmentda paydo bo'lsa, siyosat matni nima desa ham marshrutlash noto'g'ri. xfrm ro'yxati keyin qaysi selektorlar o'rnatilganini va qaysi yo'nalishda ekanini ko'rsatadi.

Ushlashni qaytish yo'lida takrorlang, chunki saytning ikki mumkin bo'lgan chiqishi bo'lganda asimmetrik marshrutlash odatiy holdir. Bir yo'nalishda ishlab, ikkinchisida vaqt tugashi bilan yakunlanadigan tunnel deyarli har doim shu, va qarshi tomondagi hech qanday siyosat tahriri uni tuzatmaydi.