Teken die ontsleutelde pad: waar 'n VPN-toestel beleid afdwing

Verskaffers se diagramme stop gewoonlik by die geïnkripteerde luisteraar, want dit is die deel met 'n publieke adres. Die vraag wat die sekuriteitspostuur bepaal, is wat ná ontsleuteling gebeur, wanneer die pakkie gewone IP word en enigiets kan bereik wat die roetertabel toelaat. As niemand daardie been geteken het nie, is daar geen eienaar nie. Die runbook hieronder teken dit eerste en vergelyk dan plasings volgens wat die ontsleutelde versoek werklik kruis.

Teken die pakkie ná ontsleuteling, nie voor nie

Die buitenste pad is die deel wat verskaffers dokumenteer: 'n publieke eindpunt, 'n vervoerbeleid wat die verbinding toelaat, en 'n beëindigende diens. Die binneste pad begin die oomblik wanneer die pakkie sy tonnelopskrif verloor, en van daar af word dit beheer deur roetering- en filterreëls wat niks met die tonnel te doen het nie. Sit albei op dieselfde bladsy, want 'n diagram met net die eerste impliseer dat toelating en magtiging een besluit is. Dit is nie, en die gaping tussen hulle is waar die meeste plasings verkeerd gaan.

Skryf die binneste been as 'n genommerde reeks met genoemde toesteltipes eerder as as 'n pyl. 'n Pyl verberg of die versoek 'n filter kruis, en kruis of nie kruis is die hele vraag. Elke sprong hieronder noem die toestel en die reëlstel wat daar optree, sodat 'n ontbrekende filter as 'n gaping verskyn eerder as om deur 'n lyn geïmpliseer te word.

1. Afgeleë kliënt: die gebruikerstoestel wat die tonnel begin.
2. Randbeleid: die reëlstel wat die buitenste vervoer na die publieke luisteraar toelaat.
3. Beëindigende toestel: die VPN-eindpunt wat dekapsuleer en die pakkie aan gewone IP oorhandig.
4. Binneste filter: die aanstuur- of sekuriteitsgroepreëlstel wat kliënt-na-diens-verkeer beperk.
5. Toepassinggasheer: die diens wat die ontsleutelde versoek ontvang.

Twee beleide, twee eienaars

Die buitenste beleid antwoord wie 'n tonnel mag vestig, en dit word uitgedruk in die reëls wat die vervoer na die beëindigende diens toelaat. Die binneste beleid antwoord watter diens 'n geauthentiseerde gebruiker mag bereik, en dit woon in aanstuur- en sekuriteitsgroepe of in die toepassing self. Een toestel kan albei huisves, en 'n ontwerp met verskeie toestelle het steeds albei. Om hulle afsonderlik te benoem, is wat jou in staat stel om te sê watter een gefaal het wanneer 'n gebruiker nie 'n toepassing kan bereik nie.

Toelatingsbeheermaatreëls soos sertifikate en multifaktor-verifikasie antwoord identiteit en niks anders nie. Hulle bepaal nie plasing nie, en hulle verleen nie regte per hulpbron sodra 'n gebruiker binne is nie.

Plasing bepaal watter grens die versoek kruis

Drie plasings is algemeen, en elkeen verander watter grens die ontsleutelde versoek kruis. Vergelyk hulle volgens wat daar beëindig word, wat gewone teks kan sien, watter beheer die versoek steeds kan weier, en wat saam met die toestel faal. Die tabel hieronder gebruik daardie vier kolomme eerder as 'n algemene vraag, want elke antwoord is 'n afsonderlike ontwerpbesluit.

Die derde plasing is die een wat stilweg afdwinging verwyder, want 'n been op die beskermde segment gee die toestel 'n direkte pad wat die diagram dalk nie wys nie. Ondersoek koppelvlakke en roetes eerder as die prentjie: ip route get 10.20.5.10 rapporteer deur watter koppelvlak die pakkie sou vertrek, en die antwoord is dikwels nie die een wat die ontwerp aanvaar het nie. Die klassieke firewall-rol om verkeer tussen houdings te beheer, soos beskryf inNIST SP 800-41, is 'n nuttige toets hier, want 'n toestel met 'n onbeperkte been na die beskermde netwerk beheer nie veel nie. 'n Roete-opsoeking is 'n meer eerlike diagram as die een in die aanbieding.

Administrasie hoort op sy eie uitdruklik toegelate pad. Om gebruikers 'n toepassing te laat bereik, vereis nooit dat hulle die toestel se beheerkopvlak bereik nie, en die twee regte moet uit verskillende reëls verleen word. Ouditeer albei paaie afsonderlik, want 'n gedeelde reël verberg watter een oopgemaak is.

Vertaling verander wat stroomaf-reëls kan sien

Bronvertaling is gerieflik en dit vernietig inligting. Ná masquerade lyk elke kliënt soos die toestel, so 'n stroomaf-reël wat geskryf is om gebruikers te onderskei, kan dit nie meer doen nie. Dit is nie net 'n logprobleem nie, dit is 'n beleidsprobleem: 'n reël geskoei op kliëntadres word stilweg 'n reël geskoei op die gateway. As beleid per gebruiker saak maak, behou die bron of dwing die beleid af voor vertaling.

Die antwoordpad verdien dieselfde ondersoek. Teken aan watter roete die bestemming vir die terugpakkie kies, want 'n asimmetriese terugkeer omseil staatvolle inspeksie en lewer 'n verbinding wat vestig en dan vasdraai. Beide rigtings moet die grens kruis wat jy geteken het, anders is die grens versiering.

sudo tcpdump -ni inside0 host 10.20.5.10
ip route get 10.20.5.10
sudo iptables -t nat -S POSTROUTING

Aanvaar een toegelate bewerking en een geweierde

Toets vanaf die werklike afgeleë kliënt eerder as vanaf 'n bestuurhost, want die bestuurhost sit gewoonlik iewers waar die gebruiker nooit sal wees nie. Een toegelate bewerking bewys die pad werk, en een geweierde bewerking bewys die beleid doen hoegenaamd iets. Voer albei uit ná elke plasingsverandering, en teken die bronidentiteit en bestemming aan wat jy gebruik het. 'n Toets wat net sukses bewys, kan nie 'n korrekte reël van 'n ontbrekende een onderskei nie.

Toets dan die gevalle wat toestand verander: 'n herverbinding, 'n sessie wat 'n sleutelrotasie oorleef, en 'n fout van die toestel self. Vergelyk opdaterings, kapasiteit en herstel as deel van dieselfde uitleg, want een toestel wat verskeie logiese beheermaatreëls hou, is een foutdomein met verskeie etikette. 'n Tweede boks is ook nie onafhanklik wanneer 'n gedeelde administratiewe geloofsbrief of 'n onbeperkte roete die grens verydel wat dit moes skep nie.

Dokumenteer die eindpunt, die ontsleutelde pad en die beheer wat dit beperk. Daardie drie reëls bly betekenisvol, hoe die implementering ook al genoem word.