Ná ontsyphering: watter beleid sien jou VPN-verkeer eerste

’n VPN-vloei kan heeltemal geënkripteer en heeltemal geauthentiseer wees en steeds op ’n plek beland waar niemand dit beplan het nie. Die kabel wat jy inprop, bepaal nie watter reël die binneste pakkie verwerk nie; die beleidshaak en die roete bepaal dit. Twee ontwerpe wat op ’n rekdiagram identies lyk, kan dus heeltemal verskillende handhawing hê. Om tussen hulle te kies, begin deur die beheer te benoem wat die ontsypherde vloei eerste sien.

Kies op grond van die beleidshaak, nie die poort waarjy inprop nie

Elke VPN-platform evalueer ontsypherde verkeer op een of ander punt voordat dit dit aanstuur, en daardie punt het ’n naam in die konfigurasie. Op een platform is dit ’n groepsbeleidfilter, op ’n ander een koppelvlakbeleid of ’n sone-paar, en op ’n toestel wat self roeteer is dit miskien net die forward-ketting. Die haak is wat die reël afdwing, terwyl die skakelaarpoort net die plek is waar die kabel eindig. Om die haak te vind is die eerste besluit, want alles anders is plasing relatief tot dit.

Voordat jy na hardeware kyk, skryf die vloei neer: wie die bron is, waarheen dit gaan, watter protokol dit dra en watter diens toegelaat word. Soek dan die beheer wat elkeen van daardie vier feite afdwing.

Twee paaie, twee verskillende handhawingsverhale

Twee vorms is algemeen, en elkeen kan korrek wees vir ’n ander vereiste.

endpoint -> shared inside subnet -> server
endpoint -> dedicated transit -> policy firewall -> server subnet

Die eerste vorm kan alles wat nodig is by die gateway afdwing, mits die gatewaybeleid vir daardie bestemming geskryf is en die bediener geen pad om dit het nie. Die tweede vorm voeg ’n grens by, maar net as die roetes en die beleid verkeer werklik daar deur laat gaan. ’n Bediener op dieselfde segment as die eindpunt volg miskien nooit die denkbeeldige tussenstop nie. Die diagram wys bedoeling, en die roetetabel wys wat gebeur.

Verifieer met ’n roete-opsoek eerder as met die tekening. Die koppelvlak waardeur ’n pakkie vertrek, en die volgende sprong wat dit kies, bepaal of die tweede vorm werk soos ontwerp.

ip route get 10.30.7.20
sudo iptables -S FORWARD
sudo tcpdump -ni inside0 host 10.30.7.20

Skei topologie van isolasie

Om ’n subnet te deel maak nie ’n plek onvertrou nie, en ’n toegewyde deurgang maak dit nie beskerm nie. Wat besluit, is die beperking wat werklik toegepas word, die aanstuur wat werklik gebeur, en wie elke stuk administreer. Om skakelaars te tel sê niks oor enige van die drie nie. Besluit uit die beleid en die roete, en laat die topologie dan die besluit volg.

Behandel verkeerspopulasies ook apart. Afstandtoegangpoele, werf-tot-werf-voorvoegsels en privaatlynnetwerke kan een toestel deel en steeds verskillende reëls nodig hê, want hul identiteite en hul risiko verskil. ’n Reël wat vir een populasie geskryf is, dek die ander stilweg wanneer hulle ’n adresplan deel.

Kontroleer faling en bestuur vir elke plasing

Elke plasing het ’n falingmodus, en die nuttige vraag is wat nog werk wanneer ’n komponent stop. Verskeie logiese koppelvlakke op een dooie toestel gee jou geen onafhanklike herstel nie, en ’n stroomaf-firewall met dieselfde kragtoevoer of dieselfde administrateur is nie ’n tweede grens nie. Vra waar die bestuurspad loop, want ’n konsole wat net deur die tonnel bereikbaar is, is glad nie ’n herstelpad nie; ssh [email protected] true van buite die tonnel is die goedkoopste manier om te bewys die konsole hang nie daarvan af nie. Die groepsbeleiddokumentasie vir een platform plaas sy filter op na-ontsypherde en voor-geënkripteerde verkeer, wat presies die soort benoemde haak is om in enige produk te soek.

Skryf die falingverhaal vir elke kandidaat langs die handhawingsverhaal. ’n Plasing wat wen op inspeksie en verloor op herstel is ’n ruil, en dit moet as sodanig aangeteken word eerder as tydens ’n voorval ontdek word.

Aanvaar met een toegelate vloei en een geweierde

Met ’n goedgekeurde toetsplan in die hand, kontroleer drie dinge vanaf die werklike VPN-bron: ’n toepassing wat behoort te werk, ’n hulpbron wat nie moet nie, en die rigting waarin die antwoord terugkom. Die weiering is die bewys dat die beleid betrokke is, terwyl die toegelate vloei net wys ’n pad bestaan.

Bewaar die gekose pad en die beleidsresultaat saam, want ’n resultaat sonder die pad kan nie herhaal word nie en ’n pad sonder die resultaat kan nie verdedig word nie. Daardie paar is baie nuttiger om ’n aanhegpunt te kies as enige bewering oor watter skakellaag inherent veiliger is.