IPsec giữa hai máy chủ: nơi bảo vệ bắt đầu và kết thúc

Sự bảo vệ trên một cặp máy chủ bắt đầu tại nơi hiệp hội bảo mật kết thúc, và đó chính là điều mà trực giác mang hình dạng cổng thường bỏ sót nhất. Một máy chủ ứng dụng và máy chủ cơ sở dữ liệu của nó có thể tự bảo vệ cuộc trò chuyện của mình một cách trực tiếp, không cần bất kỳ bộ tập trung truy cập từ xa nào trên đường đi, và ranh giới bảo vệ khi đó nằm bên trong mỗi máy chủ chứ không phải trong tường lửa. Điều đó mang lại vùng phủ từ đầu đến cuối cho các luồng chọn lọc. Điều nó không mang lại là quyết định về việc ai được đọc dòng nào.

Ranh giới là nơi SA kết thúc

RFC 4301 mô tả các hiệp hội bảo mật ở chế độ giao vận là cách bố trí thường được dùng giữa một cặp máy chủ để bảo vệ từ đầu đến cuối. Hai máy chủ đó giữ khóa, và mỗi bên quyết định những gói nào của chính mình đi vào hiệp hội. Một đường hầm cổng kết thúc ở nơi hoàn toàn khác và đến máy chủ qua một phân đoạn nội bộ bổ sung, đây là một ranh giới tin cậy khác ngay cả khi gói được mã hóa trong phần lớn hành trình.

Máy chủ với máy chủ và chế độ giao vận không phải là từ đồng nghĩa. Hai máy chủ có thể xây dựng một hiệp hội ở chế độ đường hầm giữa chúng một cách đúng đắn không kém, nên hãy chọn chế độ trước rồi mô tả các điểm cuối. Hãy ghi cả hai vào ghi chú thiết kế bên cạnh địa chỉ của đối tác, vì người đánh giá chỉ biết chế độ sẽ giả định cái còn lại.

SPD quyết định sự bảo vệ, tuyến quyết định hướng

Bảng định tuyến trả lời gói đi đâu. Cơ sở dữ liệu chính sách bảo mật trả lời lưu lượng được chọn đi qua ranh giới bảo vệ như thế nào, và nó làm điều đó theo từng hướng với các bộ chọn riêng. Chính sự tách biệt đó là lý do một tuyến hoạt động tới cơ sở dữ liệu không chứng minh được gì về việc yêu cầu có được bảo vệ hay không, và là lý do một cuộc thương lượng đã thiết lập không chứng minh được gì về việc ứng dụng cụ thể này có khớp với nó hay không. Hãy so sánh các bộ chọn trước khi so sánh các bộ đếm, vì các bộ đếm chỉ mô tả những luồng đã đi xa đến thế.

Trên Linux, ip xfrm policy in ra các mục đó cùng hướng, độ ưu tiên, bộ chọn và hành động cho phép, chặn hoặc bẫy, trong khi ip xfrm state hiển thị các hiệp hội tạo thành và các bộ đếm của chúng. Đọc cả hai cùng nhau là cách bạn tìm ra luồng đã lặng lẽ vòng qua đường hầm vì một mục cho phép rộng hơn khớp trước.

Thứ tự ưu tiên là một phần của chính sách, không phải chi tiết triển khai. Một mục hẹp đáng lẽ phải bảo vệ cổng cơ sở dữ liệu sẽ thua một mục rộng hơn có độ ưu tiên cao hơn, và sự cố trông như thể chính sách chưa bao giờ được hỏi tới.

Chế độ giao vận bao phủ lớp tiếp theo, không phải tiêu đề IP

Ở chế độ giao vận, tiêu đề ESP nằm giữa tiêu đề IP và tải trọng, và các trường địa chỉ của tiêu đề đó vẫn hiển thị với mọi thiết bị trên đường đi. Điều đó ổn khi địa chỉ không phải là bí mật và tải trọng là bí mật. Đó là lựa chọn sai nếu bạn cũng cần giấu cấu trúc liên kết nội bộ, vì chỉ chế độ đường hầm bọc tiêu đề gốc vào trong một tiêu đề mới.

Cả hai chế độ đều có thể mang nhiều giao thức của lớp tiếp theo, và ESP sẽ bảo vệ những gì bộ chọn khớp chứ không phải mọi thứ máy chủ gửi đi.

Việc chọn lọc hẹp hơn kết nối

Một hiệp hội duy nhất có thể mang nhiều luồng, nhưng chỉ những luồng mà chính sách chọn. Hãy ghi lại danh tính của các đối tác, địa chỉ nguồn và đích, giao thức và phạm vi dịch vụ cho mối quan hệ bạn dự định, sau đó quyết định riêng xem lưu lượng không khớp có được đi công khai, phải được bảo vệ hay phải bị loại bỏ khi hiệp hội không khả dụng. Chính quyết định cuối cùng đó tạo ra bất ngờ, vì một quy tắc đòi bảo vệ cho sai nguồn có thể chặn quyền truy cập quản trị của chính bạn hiệu quả như khi nó chặn kẻ xâm nhập.

Hãy duy trì một đường ngoài băng đã được phê duyệt trong khi bạn thay đổi việc thực thi, và kiểm tra nó trước khi bạn cần đến nó thay vì sau khi cả hai máy chủ trở nên không thể truy cập.

Danh tính máy không phải là quyền của ứng dụng

IPsec xác thực một đối tác đã cấu hình và bảo vệ các gói được chọn. Nó không quyết định ai được sửa bản ghi cơ sở dữ liệu nào, và nó không biến danh tính máy chủ đáng tin cậy thành việc cấp mọi đặc quyền ứng dụng. Tài khoản, vai trò và quyền của ứng dụng vẫn ở đúng nơi chúng vốn có, và một yêu cầu TLS ở mức ứng dụng vẫn giữ mục đích riêng của nó ngay cả khi đường mạng đã được bảo vệ.

Hãy chấp nhận thiết kế với một thao tác từ nguồn dự định và một thao tác phải bị từ chối, và bao gồm cả điều gì xảy ra khi không thể thiết lập hiệp hội cần thiết. Một bài kiểm tra khả năng tiếp cận thông thường cho bạn biết các gói di chuyển; nó không cho bạn biết chúng đã di chuyển dưới chính sách bạn viết.