VPN của trang của bạn kết thúc ở đâu quyết định điều gì bị kiểm tra

Một đường hầm giữa các trang giấu đi một chi tiết quyết định toàn bộ thiết kế kiểm tra: thiết bị chính xác nơi gói bên trong hiện ra dưới dạng văn bản rõ. Mọi thứ trước điểm đó thấy ESP, và mọi thứ sau đó thấy IP thông thường mà một quy tắc có thể bắt được. Đặt ranh giới sai chỗ và tường lửa bạn đã trả tiền sẽ trở thành bộ định tuyến có giấy phép. Phần trình bày dưới đây vẽ đường ranh giới trước và chỉ sau đó mới hỏi thiết bị nào nên sở hữu nó.

Vẽ đường tại nơi gói thôi bị mã hóa

Ở chế độ đường hầm, gói gốc được mã hóa và bọc trong một tiêu đề IP ngoài mới được đánh địa chỉ tới cổng ngang hàng. Gói ngoài đó mang giao thức 50 cho ESP, nên bất kỳ thiết bị nào giữa hai cổng đều có thể định tuyến nó mà không cần đọc địa chỉ bên trong. Thiết bị đầu tiên giải mã là ranh giới bảo mật, và cũng là thiết bị đầu tiên có thể áp chính sách lên luồng bên trong. Mọi thứ phía dưới điểm đó là định tuyến thông thường.

Đánh dấu ba thứ trên sơ đồ: điểm cuối ngoài nơi tiếp nhận ESP, các mạng được bảo vệ nêu trong chính sách, và chặng tiếp theo mà gói đã giải mã đi. Nếu ba thứ này không nằm trên cùng một thiết bị, bạn có một việc bàn giao cần thiết kế, không phải một điểm kiểm soát duy nhất.

RFC 4301 gọi thiết bị giải mã là cổng bảo mật và coi chính sách của nó là một phần của ranh giới. Đây là khuôn khổ hữu ích hơn phạm trù sản phẩm, vì một thiết bị là ranh giới khi nó giữ chính sách, không phải khi bảng dữ liệu của nó ghi tường lửa.

Tường lửa là điểm kết thúc: một thiết bị, một điểm chính sách

Khi tường lửa kết thúc đường hầm, bộ định tuyến phía trên chỉ cần chuyển ESP cho nó. Tường lửa xác thực đối tác, giải mã, rồi áp các quy tắc thông thường của nó lên gói bên trong trên đường tới VLAN máy chủ. Cách này cho một nơi để đọc chính sách và một nơi để đọc nhật ký, điều mà một cuộc kiểm toán thường yêu cầu.

Hãy kiểm tra riêng hai quyền. Cho phép IKE và ESP tới thiết bị không phải cùng một quy tắc với cho phép một trang từ xa tiếp cận máy chủ, và một tường lửa chấp nhận đường hầm nhưng chặn luồng bên trong trông từ đầu xa giống hệt một đường hầm hỏng.

Cái giá là tường lửa nay nằm trên đường đi của toàn bộ lưu lượng của trang, nên thông lượng, giới hạn phiên và hành vi chuyển đổi khi lỗi của nó trở thành hành vi của chính đường hầm. Hãy định cỡ nó theo các luồng trang kết hợp, không theo hồ sơ truy cập từ xa mà có lẽ nó được mua cho.

Bộ định tuyến là điểm kết thúc: chặng kiểm tra trở thành tùy chọn

Khi bộ định tuyến giải mã, gói đã rõ khi tới bảng định tuyến. Nếu một tường lửa riêng phải kiểm tra lưu lượng đó, bộ định tuyến phải gửi nó qua tường lửa và đường về phải quay lại theo cùng cách. Một tuyến trực tiếp từ bộ định tuyến tới VLAN máy chủ lặng lẽ loại tường lửa khỏi đường đi trong khi vẫn để nó trên sơ đồ.

Đây là lỗi cần tìm trong một mạng hiện hữu: hai tuyến tới cùng một tiền tố, một qua tường lửa và một trực tiếp, với tuyến trực tiếp thắng nhờ độ dài tiền tố hoặc metric. Đường hầm vẫn chuyển lưu lượng và việc kiểm tra mà bạn tin tưởng không xảy ra.

Đường hầm dựa trên tuyến làm điều này hiện rõ, vì đường hầm là một giao diện mà bạn có thể định tuyến qua thiết bị khác. Đường hầm dựa trên chính sách chọn lưu lượng bằng bộ chọn, điều này có thể để gói đã giải mã nằm lại trên bộ định tuyến mà không có đích nào khác.

Hỏi cả hai ứng viên cùng năm câu hỏi

Một bảng công việc ngắn thắng ma trận tính năng, vì mỗi câu hỏi tương ứng với một dòng trên sơ đồ. Hỏi từng ứng viên:

• Những phiên bản IKE nào, những phương thức xác thực đối tác và mô hình định tuyến nào mà bản phát hành này thật sự hỗ trợ?
• ESP được chấp nhận ở đâu, và luồng đã giải mã được cho phép hay bị từ chối ở đâu?
• Các máy chủ cục bộ học tiền tố từ xa bằng cách nào, và phía bên kia học tiền tố của bạn bằng cách nào?
• Điểm cuối phải chịu được thông lượng, số phiên và hành vi chuyển đổi khi lỗi nào cho khối lượng công việc thật?
• Ai là chủ sở hữu thông tin xác thực của đối tác, chính sách và đường khôi phục khi chính đường hầm là thứ hỏng?

pfSense ghi nhận IPsec dựa trên chính sách và dựa trên tuyến là hai mô hình riêng với ràng buộc riêng, và khác biệt này quan trọng hơn nhãn trên hộp. Hãy kiểm tra chế độ chính xác và khả năng lọc lưu lượng đã giải mã được hỗ trợ trong bản phát hành mà bạn thật sự sẽ triển khai.

Nếu một ứng viên không thể trả lời câu hỏi thứ hai bằng một quy tắc mà bạn đọc được, đó không phải ranh giới bạn muốn, dù nó làm tốt mọi thứ khác đến đâu. Hãy yêu cầu văn bản quy tắc thay vì câu trả lời có, và coi câu trả lời mơ hồ là không.

Xác minh đường đi bằng bắt gói, không bằng sơ đồ

Sơ đồ mô tả ý định và bắt gói mô tả hành vi, nên hãy xác nhận giao diện nào mang ESP và giao diện nào mang luồng bên trong trước khi tin vào bất kỳ cái nào.

tcpdump -ni wan0 esp
tcpdump -ni lan0 host 10.60.4.20
ip xfrm policy list

Nếu lần bắt gói đầu tiên cho thấy ESP đang tới và lần thứ hai cho thấy gói bên trong ở phía LAN, điểm giải mã đúng là nơi bạn nghĩ. Nếu gói bên trong xuất hiện trên một phân đoạn vòng qua tường lửa, định tuyến sai, bất kể văn bản chính sách nói gì. Danh sách xfrm sau đó cho thấy những bộ chọn nào được cài và theo hướng nào.

Lặp lại việc bắt gói trên đường về, vì định tuyến bất đối xứng là phổ biến khi một trang có hai lối ra khả dĩ. Một đường hầm chạy được một chiều và hết thời gian ở chiều kia gần như luôn là trường hợp này, và không việc sửa chính sách nào ở phía bên kia khắc phục được.