Hoe om toegang tussen twee VPN-verbinde kantore te beperk

’n Werf-tot-werf-tonnel beantwoord een vraag, of die twee kantore pakkette kan uitruil, en laat die belangrike een oop: watter taktoestel watter sentrale diens mag bereik. Om die tonnel as wedersydse vertroue te behandel, is hoe ’n gaste-skootrekenaar op dieselfde pad as die finansiële bediener beland. Die oplossing is nie ’n beter tonnel nie, maar ’n eksplisiete toelaatlys wat ná ontsluiting afgedwing word. Hierdie draaiboek neem daardie lys van definisie tot ’n bewese weiering.

Werk in hierdie volgorde, en moenie die tonnelroete verbreed voordat die beleidsstappe hieronder slaag nie.

Skryf die matriks voordat jy aan die poort raak

’n Nuttige ry noem drie dinge: ’n bronsroep, ’n bestemmingsgasheer of diensnetwerk, en die protokol en poort wat die toepassing werklik gebruik. Die tak en die datasentrum is nie inskrywings nie. Private DNS- en verifikasiedienste verdien hul eie rye net wanneer die toepassing nie sonder hulle kan werk nie.

Groepeer bronne volgens rol eerder as volgens subnetgerief: personeel, gaste, administrasie. Wanneer al drie een plat LAN deel, kan die poort hulle nie op die netwerklaag onderskei nie, so identiteitsbeheer of segmentering moet eerste kom. Sit dan die matriks skriftelik neer met ’n eienaar en ’n hersieningsdatum op elke ry.

Dwing dit af waar die pakkette ontsluit word

Die reëls wat IKE en ESP toelaat, bou net die buitenste tonnel. Binneverkeer kom in die oopte op die tonnelkoppelvlak aan, en dit is waar die toelaatlys hoort: ’n aanstuurketting op die ontsluitede toestel, verstekverwerping, een reël per matriksry. Op Linux-pootte beteken dit dat aanstuur geaktiveer is en filterreëls op die tonneltoestel staan, nie op die fisiese opvoer nie, soos die strongSwan-aansturingsgids uiteensit.

Verkeerskiesers is ’n roetebesluit, nie ’n magtigingsbesluit nie. ’n Wye kieser wat albei subnette dek, kan vir roetering reg wees terwyl die firewall steeds net TCP 443 na een gasheer toelaat. Die kieser word vir die tonnel beding en beskryf wat dit mag binnekom, nie wat enige gegewe toestel mag gebruik nie. Moet nooit ’n firewallreël verbreed omdat die kieser wyd is nie.

iptables -A FORWARD -i tun0 -s 10.20.0.0/24 -d 10.10.5.10 -p tcp --dport 443 -j ACCEPT
iptables -A FORWARD -i tun0 -j DROP

NAT en oorvleuelende subnette verander die reëls

Wanneer die takpoort elke gasheer voor die tonnel na ’n enkele adres vertaal, val elke brongebaseerde ry in daardie een adres saam. Stop óf met die vertaling van tonnelverkeer, óf aanvaar dat reëls op iets anders moet berus, soos die oorspronklike bronadres wat voor die vertaling aangeteken is. Die ver punt het dieselfde probleem, want die bestemmingsgasheer sien die adres ná NAT eerder as die oorspronklike een.

Oorvleuelende reekse is die ander lokval. Twee kantore wat albei 192.168.1.0/24 gebruik, kan nie in een beleidstabel beskryf word sonder om ’n kant te karteer nie, en ’n kartering is nie ’n plaasvervanger vir adressering wat nie bots nie. Maak die plan reg voordat jy reëls skryf wat jy later sal moet ontrafel.

Bewys ’n weiering, nie net ’n sukses nie

Om net die toegelate toepassing te toets, bewys baie min, want ’n toelatende reël êrens stroomop lewer dieselfde resultaat.

Bereik die beoogde diens vanaf ’n gewone taktoestel en bevestig dat die hele sessie werk. Probeer dan ’n bestemming wat gesluit moet bly, soos ’n administratiewe poort op ’n bediener waarby die tak niks te doen het nie, en lees die teller of loginskrywing wat dit verwerp het. Om die reëlstel te deaktiveer om te kyk of dit werk, maak die toets ongeldig en laat die poort oop terwyl jy kyk.

Hou die lys lewendig

Toepassings skuif, en ’n reël wat sy toepassing oorleef, word ’n gat wat niemand besit nie. Heg die hersieningsdatum aan die ry, en verander die kieseromvang en die firewallreël in dieselfde onderhoudstap wanneer ’n diens van adres verander.

Gasheervlakbeperkings bly steeds agter die tonnel belangrik: die bediener se eie firewall moet die takreeks net vir die diens wat dit publiseer, aanvaar. Twee lae wat ooreenstem, is makliker om te ouditeer as een laag wat heeltemal vertrou word.