بعد فك التشفير: أي سياسة ترى حركة VPN أولاً

يمكن أن يكون تدفق VPN مشفراً بالكامل وموثقاً بالكامل، ومع ذلك يهبط في مكان لم يخطط له أحد. الكبل الذي توصله لا يحدد القاعدة التي تعالج الحزمة الداخلية؛ خطاف السياسة والمسار هما ما يحدد ذلك. لذلك قد يكون لتصميمين يبدوان متطابقين على مخطط الرف تنفيذ مختلف تماماً. تبدأ المفاضلة بينهما بتسمية الضابط الذي يرى التدفق المفكوك أولاً.

قرر حسب خطاف السياسة، لا المنفذ الذي تدخله

كل منصة VPN تقيّم حركة فك التشفير في نقطة ما قبل تمريرها، وتلك النقطة لها اسم في الإعداد. على منصة ما هو مرشح سياسة مجموعة، وعلى أخرى سياسة واجهة أو زوج مناطق، وعلى جهاز يوجّه قد يكون ببساطة سلسلة forward. الخطاف هو ما ينفذ القاعدة، أما منفذ المحول فهو فقط حيث ينتهي الكبل. إيجاد الخطاف هو القرار الأول، لأن كل شيء آخر موضع بالنسبة إليه.

قبل النظر إلى العتاد، اكتب التدفق: من المصدر، إلى أين يتجه، أي بروتوكول يحمله، وأي خدمة مسموح بها. ثم ابحث عن الضابط الذي ينفذ كل حقيقة من هذه الحقائق الأربع.

مساران، قصتا تنفيذ مختلفتان

شكلان شائعان، وكل منهما يمكن أن يكون صحيحاً لمتطلب مختلف.

endpoint -> shared inside subnet -> server
endpoint -> dedicated transit -> policy firewall -> server subnet

الشكل الأول يمكنه تنفيذ كل ما يحتاجه عند البوابة، بشرط أن تكون سياسة البوابة مكتوبة لتلك الوجهة وألا يكون للخادم مسار يلتف حولها. الشكل الثاني يضيف حداً، لكن فقط إذا كانت المسارات والسياسة تجعل الحركة تعبره فعلاً. الخادم الموجود على نفس القطعة قد لا يتبع أبداً القفزة الوسيطة المتخيلة. المخطط يظهر النية، وجدول التوجيه يظهر ما يحدث.

تحقق من خلال بحث في المسار بدلاً من الرسم. الواجهة التي تغادر بها الحزمة والقفزة التالية التي تختارها هما ما يحددان إن كان الشكل الثاني يعمل كما صمم.

ip route get 10.30.7.20
sudo iptables -S FORWARD
sudo tcpdump -ni inside0 host 10.30.7.20

افصل الطوبولوجيا عن العزل

مشاركة قطعة شبكة لا تجعل مكاناً غير موثوق، والعبور المخصص لا يجعله محمياً. ما يحدد هو القيد المطبق فعلاً، والتمرير الذي يحدث فعلاً، ومن يدير كل جزء. عد المحولات لا يخبرك شيئاً عن أي من الثلاثة. قرر من السياسة والمسار، ثم دع الطوبولوجيا تتبع القرار.

عامل مجموعات الحركة بشكل منفصل أيضاً. يمكن لمجمعات الوصول عن بعد وبادئات الموقع إلى الموقع وشبكات الخطوط الخاصة أن تتشارك جهازاً واحداً وتحتاج مع ذلك قواعد مختلفة، لأن هوياتها ومخاطرها تختلف. القاعدة المكتوبة لمجموعة ما تغطي الأخرى بصمت عندما تتشارك خطة عناوين.

افحص الفشل والإدارة لكل موضع

لكل موضع نمط فشل، والسؤال المفيد هو ما يظل يعمل عندما يتوقف مكون. عدة واجهات منطقية على جهاز ميت واحد لا تمنحك استعادة مستقلة، وجدار حماية لاحق يتشارك نفس التغذية أو نفس المسؤول ليس حداً ثانياً. اسأل أين يمر مسار الإدارة، لأن وحدة تحكم لا يمكن الوصول إليها إلا عبر النفق ليست مسار استعادة على الإطلاق؛ ssh [email protected] true من خارج النفق هو أرخص طريقة لإثبات أن وحدة التحكم لا تعتمد عليه. وثائق سياسة المجموعة لمنصة ما تضع مرشحها على الحركة بعد فك التشفير وقبل التشفير، وهو بالضبط نوع الخطاف المسمى الذي تبحث عنه في أي منتج.

اكتب قصة الفشل لكل مرشح بجانب قصة التنفيذ. الموضع الذي يفوز في الفحص ويخسر في الاستعادة هو مقايضة، وينبغي تسجيله كذلك بدلاً من اكتشافه أثناء حادث.

اقبل بتدفق مسموح وآخر مرفوض

مع خطة اختبار معتمدة، افحص ثلاثة أشياء من مصدر VPN الحقيقي: تطبيق يجب أن يعمل، ومورد لا يجب أن يعمل، والاتجاه الذي يعود منه الرد. الرفض هو دليل على أن السياسة مشاركة، بينما التدفق المسموح يثبت فقط وجود مسار.

احفظ المسار المختار ونتيجة السياسة معاً، لأن نتيجة بلا مسار لا يمكن تكرارها ومساراً بلا نتيجة لا يمكن الدفاع عنه. هذا الزوج أنفع بكثير لاختيار نقطة ربط من أي ادعاء بأن طبقة تحويل معينة أكثر أماناً بطبيعتها.