Deşifrədən sonra: VPN trafikinizi hansı siyasət ilk görür

VPN axını tam şifrələnmiş və tam autentifikasiya olunmuş ola bilər, yenə də heç kimin planlaşdırmadığı yerə düşə bilər. Qoşduğunuz kabel daxili paketi hansı qaydanın emal etdiyini müəyyən etmir; bunu siyasət qarmağı və marşrut müəyyən edir. Buna görə rək diaqramında eyni görünən iki dizayn tamamilə fərqli tətbiqə malik ola bilər. Aralarında seçim etmək deşifrə olunmuş axını ilk görən nəzarətin adını çəkməklə başlayır.

Porta görə deyil, siyasət qarmağına görə qərar verin

Hər VPN platforması şifrəsi açılmış trafiki yönləndirməzdən əvvəl müəyyən bir nöqtədə qiymətləndirir və həmin nöqtənin konfiqurasiyada adı var. Bir platformada bu qrup siyasəti filtri, digərində interfeys siyasəti və ya zona cütü, marşrutlaşdıran cihazda isə sadəcə forward zənciri ola bilər. Qarmaq qaydanı tətbiq edir, kommutator portu isə yalnız kabelin bitdiyi yerdir. Qarmağı tapmaq ilk qərardır, çünki qalan hər şey ona görə yerləşdirilir.

Avadanlığa baxmazdan əvvəl axını yazın: mənbə kimdir, hara gedir, hansı protokol daşıyır və hansı xidmətə icazə verilir. Sonra bu dörd faktı tətbiq edən nəzarəti tapın.

İki yol, iki fərqli tətbiq hekayəsi

İki forma geniş yayılmışdır və hər biri fərqli tələb üçün doğru ola bilər.

endpoint -> shared inside subnet -> server
endpoint -> dedicated transit -> policy firewall -> server subnet

Birinci forma lazım olan hər şeyi şlüzda tətbiq edə bilər, bir şərtlə ki, şlüz siyasəti həmin təyinat üçün yazılsın və serverin ətrafından yan keçən yolu olmasın. İkinci forma sərhəd əlavə edir, ancaq marşrutlar və siyasət trafiki həqiqətən oradan keçirirsə. Son nöqtə ilə eyni seqmentdə oturan server təsəvvür edilən ara atlamanı heç vaxt izləməyə bilər. Diaqram niyyəti göstərir, marşrut cədvəli isə nə baş verdiyini.

Rəsmə deyil, marşrut axtarışına əsasən yoxlayın. Paketin çıxdığı interfeys və seçdiyi növbəti atlama ikinci formanın dizayna uyğun işləyib-işləmədiyini müəyyən edir.

ip route get 10.30.7.20
sudo iptables -S FORWARD
sudo tcpdump -ni inside0 host 10.30.7.20

Topologiyanı təcriddən ayırın

Alt şəbəkəni paylaşmaq yeri etibarsız etmir, ayrıca tranzit də onu qorumur. Qərar verən faktiki tətbiq olunan məhdudiyyət, faktiki baş verən yönləndirmə və hər hissəni kimin idarə etdiyidir. Kommutatorları saymaq bu üçünün heç biri haqqında heç nə demir. Siyasətdən və marşrutdan qərar verin, sonra topologiya qərarı izləsin.

Trafik populyasiyalarını da ayrı saxlayın. Uzaqdan giriş hovuzları, sahə-sahə prefiksləri və xüsusi xətt şəbəkələri bir cihazı paylaşa və yenə fərqli qaydalara ehtiyac duya bilər, çünki kimlikləri və riskləri fərqlidir. Bir populyasiya üçün yazılmış qayda ünvan planını paylaşdıqda digərlərini səssizcə əhatə edir.

Hər yerləşdirmə üçün nasazlığı və idarəetməni yoxlayın

Hər yerləşdirmənin nasazlıq rejimi var və faydalı sual hansı komponent dayandıqda nəyin işlədiyidir. Bir ölü cihazda bir neçə məntiqi interfeys sizə müstəqil bərpa vermir, eyni enerji xəttini və ya eyni administratoru paylaşan aşağı axın firewall da ikinci sərhəd deyil. İdarəetmə yolunun haradan keçdiyini soruşun, çünki yalnız tuneldən əlçatan konsol heç bir bərpa yolu deyil; ssh [email protected] true tuneldən kənardan işlətmək konsolun ondan asılı olmadığını sübut etməyin ən ucuz yoludur. Bir platformanın qrup siyasəti sənədi filtrini deşifrədən sonra və şifrələmədən əvvəl trafikə qoyur ki, bu da istənilən məhsulda axtarılmalı olan adlı qarmaq növüdür.

Hər namizəd üçün nasazlıq hekayəsini tətbiq hekayəsinin yanında yazın. Yoxlamada qazanan və bərpada uduzan yerləşdirmə bir mübadilədir və insident zamanı aşkar etmək əvəzinə belə qeyd edilməlidir.

İcazə verilən və rədd edilən axınla qəbul edin

Təsdiqlənmiş test planı ilə real VPN mənbəyindən üç şeyi yoxlayın: işləməli olan tətbiq, işləməməli olan resurs və cavabın qayıtdığı istiqamət. Rədd siyasətin işə qoşulduğuna dəlildir, icazə verilən axın isə yalnız yolun mövcud olduğunu sübut edir.

Seçilmiş yolu və siyasət nəticəsini birlikdə saxlayın, çünki yolsuz nəticə təkrarlana bilməz və nəticəsiz yolu müdafiə etmək olmaz. Bu cüt qoşulma nöqtəsi seçmək üçün hansı kommutasiya qatının təbii olaraq daha təhlükəsiz olması iddiasından qat-qat faydalıdır.