النقل المشفَّر لا يمنح حق الوصول إلى الناقل

هناك بوابتان معتمدتان تنقلان حركة شبكة أقل ثقة عبر شبكة نقل مقيّدة. تشفير الحمولة يبقيها غير مقروءة أمام مراقبي النقل العاديين، وهو الجزء الذي يصممه الناس أولًا ثم يتوقفون عن التفكير فيه. ما لا يفعله التشفير هو تحديد الموارد التي قد يصل إليها الجانب الأقل ثقة. يحتاج التصميم إلى حدّين: حدّ حول المحادثة المنقولة، وحدّ حول الوصول إلى الناقل نفسه.

نفّذ الخطوات أدناه بالترتيب، وتعامل مع أي فشل في أي خطوة بوصفه تغييرًا في التصميم لا تعديلًا في الإعدادات.

حدّد الحدّين قبل أن تلمس أي إعداد

الحدّ الأول هو المحادثة: أي أزواج من البوابات يجوز لها إنشاء نفق، وأي حركة داخلية يُسمح بمرورها عبره. والثاني هو الناقل: أي العناوين والخدمات يستطيع مضيفو الثقة الأقل الوصول إليها خارج النفق. تبني الفرق عادة الحدّ الأول وترث الثاني من أي توجيه كان موجودًا، وهكذا يتحول تصميم مقيّد بهدوء إلى تصميم واسع. تلك الوراثة هي السبب الجذري المعتاد حين تكشف مراجعة أن مضيفًا أقل ثقة يتحدث مع شيء لم يوافق عليه أحد.

اكتب كلا الحدّين كقوائم من العناوين والمنافذ والاتجاهات. وإذا تعذّر كتابة قائمة، فالحدّ لم يُعرَّف بعد.

الخطوة 1: قيّد النفق الخارجي

على الواجهة المواجهة للناقل، اسمح فقط بما يحتاجه النفق: IKE على UDP 500 و4500 بين عنواني البوابة، وESP حيث لا يُستخدم اجتياز NAT. وارفض كل ما يصل على تلك الواجهة سواه، بما في ذلك بروتوكولات الإدارة. إن مواصفة ESP تغطي خدمات الحماية؛ وهي لا تقول شيئًا عن أي خدمات للناقل نفسه يجوز للبوابات استخدامها. عبّر عن ذلك بقائمة سماح صريحة، حتى لا تصبح خدمة ناقل نُشرت حديثًا قابلة للوصول افتراضيًا.

هذه هي مجموعة القواعد التي تجعل التصميم تصميم نقل لا ترتيب نظير إلى نظير.

تحقق منها من الجانب الأقل ثقة، لا من وحدة تحكم البوابة. ينبغي أن يفشل مضيف هناك في الوصول إلى خادم DNS للناقل حتى قبل أن يُقام النفق.

الخطوة 2: قرّر ما الذي يسلّمه البوابة البعيدة

في الطرف البعيد، على الحركة المستعادة أن تذهب إلى مكان محدد. حدّد الخدمات الداخلية المسموح بها، ونطاقات المصادر التي تأتي منها، وما إذا كان يُتوقع أن تكون الردود متناظرة. راجع وصول الإدارة بشكل منفصل، لأن البوابة نفسها كثيرًا ما تعرّض واجهة إدارية لم تكن يومًا جزءًا من خطة النقل.

المخطط الذي يتوقف عند فك التشفير الناجح قد تجاوز القرار الأكثر أهمية.

الخطوة 3: احتفظ بالملكية لكل طبقة

معدات النقل لا تزال تستقبل الحزم الخارجية وتمررها، لذلك تحتاج إلى ترقيع وتخطيط للقدرة. نقاط نهاية النفق تعالج البروتوكول المحمي وتعرّض الحركة الداخلية لمسار إعادة التوجيه لديها، لذلك تحتاج إلى قواعدها ومراقبتها الخاصة. التطبيقات النهائية تعالج الحمولة، والحمولة المعتمة ليست دليلًا على أن تنزيلًا مفكوك التشفير غير ضار.

عيّن مالكًا لكل طبقة. الطبقات التي لا مالك لها هي التي تنحرف.

الخطوة 4: تحقّق، ثم سلّم الأمر إلى الجهة المختصة

تحقّق من المسار الخارجي والنفق قائم وقواعد الناقل مطبقة. ثم جرّب كل مورد لا ينبغي للجانب الأقل ثقة الوصول إليه، وأكّد أن الفشل رفضٌ لا مهلة زمنية تخفي مسارًا. افحص أيضًا التوافر وحدود الموارد، لأن رابطًا مشفرًا يمكن أن يظل يُشبَع.

في البيئات الخاضعة للتنظيم أو المصنّفة، اذهب بالتصميم إلى سلطة الأمن المسؤولة واستخدم بنيتها المعتمدة للفصل. إن إعداد VPN وشرحًا مفاهيميًا لا يثبتان الاعتماد. تلك الخطوة ليست أوراقًا؛ إنها تقرر ما إذا كان يُسمح للتصميم بالوجود أصلًا.