Deşifrə olunmuş yolu çək: VPN cihazı siyasəti harada tətbiq edir

Satıcı diaqramları adətən şifrələnmiş dinləyicidə dayanır, çünki public ünvanı olan hissə elə oradır. Təhlükəsizlik mövqeyini müəyyən edən sual deşifrədən sonra nə baş verdiyidir: paket adi IP-yə çevrilir və marşrut cədvəlinin icazə verdiyi hər şeyə çata bilir. O ayağı heç kim çəkməyibsə, onun sahibi də yoxdur. Aşağıdakı runbook əvvəlcə onu çəkir, sonra yerləşdirmələri deşifrə olunmuş sorğunun həqiqətən nəyi keçdiyinə görə müqayisə edir.

Paketi deşifrədən sonra çək, əvvəl yox

Xarici yol satıcıların sənədləşdirdiyi hissədir: public son nöqtə, bağlantını qəbul edən nəqliyyat siyasəti və onu sonlandıran xidmət. Daxili yol paketin tunel başlığını itirdiyi anda başlayır və oradan tunellə heç bir əlaqəsi olmayan marşrut və filtr qaydaları ilə idarə olunur. Hər ikisini eyni səhifəyə qoy, çünki yalnız birincisini göstərən diaqram qəbul və səlahiyyətləndirmənin tək qərar olduğunu ima edir. Belə deyil və əksər yerləşdirmə səhvləri məhz bu iki qərar arasındakı boşluqda baş verir.

Daxili ayağı ox yerinə adlandırılmış cihaz növləri ilə nömrələnmiş ardıcıllıq kimi yaz. Ox sorğunun filtrdən keçib-keçmədiyini gizlədir, halbuki bütün sual elə keçib-keçməməsidir. Aşağıdakı hər addım cihazı və orada işləyən qayda dəstini adlandırır, beləliklə çatışmayan filtr xəttin ima etdiyi bir şey kimi deyil, boşluq kimi görünür.

1. Uzaq müştəri: tuneli başladan istifadəçi cihazı.
2. Kənar siyasəti: xarici nəqliyyatın public dinləyiciyə qəbuluna icazə verən qayda dəsti.
3. Sonlandıran cihaz: paketi dekapusulyasiya edib adi IP-yə ötürən VPN son nöqtəsi.
4. Daxili filtr: müştəridən xidmətə trafiki məhdudlaşdıran yönləndirmə və ya təhlükəsizlik qrupu qaydaları.
5. Tətbiq hostu: deşifrə olunmuş sorğunu qəbul edən xidmət.

İki siyasət, iki sahib

Xarici siyasət kimin tunel qura biləcəyini cavablandırır və sonlandıran xidmətə nəqliyyata icazə verən qaydalarda ifadə olunur. Daxili siyasət autentifikasiyadan keçmiş istifadəçinin hansı xidmətə çata biləcəyini cavablandırır və yönləndirmə qaydalarında, təhlükəsizlik qruplarında və ya tətbiqin özündə yaşayır. Bir cihaz hər ikisini yerləşdirə bilər və bir neçə cihazlı dizayn da hər ikisinə malikdir. Onları ayrı-ayrı adlandırmaq, istifadəçi tətbiqə çatmadıqda hansının uğursuz olduğunu deməyə imkan verən şeydir.

Sertifikatlar və çoxfaktorlu autentifikasiya kimi qəbul nəzarətləri yalnız kimliyə cavab verir, başqa heç nəyə. Onlar yerləşdirməni müəyyən etmir və istifadəçi içəri girdikdən sonra resurs üzrə icazə vermir.

Yerləşdirmə sorğunun hansı sərhədi keçdiyini müəyyən edir

Üç yerləşdirmə geniş yayılmışdır və hər biri deşifrə olunmuş sorğunun keçdiyi sərhədi dəyişir. Onları orada nəyin sonlandığına, nəyin açıq mətni görə bildiyinə, hansı nəzarətin hələ də sorğunu rədd edə bildiyinə və cihazla birlikdə nəyin sıradan çıxdığına görə müqayisə et. Aşağıdakı cədvəl ümumi sual əvəzinə həmin dörd sütundan istifadə edir, çünki hər cavab ayrı dizayn qərarıdır.

Üçüncü yerləşdirmə tətbiqi səssizcə aradan qaldıran yerləşdirmədir, çünki qorunan seqmentdəki ayaq cihaza diaqramın göstərməyə biləcəyi birbaşa yol verir. Şəkilə deyil, interfeyslərə və marşrutlara bax: ip route get 10.20.5.10 paketin hansı interfeysdən çıxacağını bildirir və cavab çox vaxt dizaynın fərz etdiyi deyil. Qorunan şəbəkəyə məhdudiyyətsiz ayağı olan cihazın heç nəyə nəzarət etmədiyini yoxlamaq üçün posturalar arasında trafikə nəzarət edən klassik firewall rolu,NIST SP 800-41sənədində təsvir olunduğu kimi, burada faydalı sınaqdır. Marşrut axtarışı təqdimatdakı diaqramdan daha dürüst diaqramdır.

Administrasiya öz ayrıca, açıq şəkildə icazə verilmiş yolunda olmalıdır. İstifadəçilərə tətbiqə çatmağa icazə vermək heç vaxt onlara cihazın idarəetmə interfeysinə çatmağa icazə verməyi tələb etmir və iki icazə fərqli qaydalardan verilməlidir. Hər iki yolu ayrıca audit et, çünki ortaq qayda hansının açıldığını gizlədir.

Tərcümə aşağı axın qaydalarının nə görə biləcəyini dəyişir

Mənbə tərcüməsi rahatdır və məlumatı məhv edir. Maskaraddan sonra hər müştəri cihaz kimi görünür, ona görə istifadəçiləri ayırd etmək üçün yazılmış aşağı axın qaydası artıq bunu edə bilmir. Bu təkcə log problemi deyil, siyasət problemidir: müştəri ünvanına bağlanmış qayda səssizcə şlüzə bağlanmış qaydaya çevrilir. İstifadəçi üzrə siyasət vacibdirsə, mənbəni qoru və ya siyasəti tərcümədən əvvəl tətbiq et.

Cavab yolu da eyni diqqətə layiqdir. Hədəfin cavab paketi üçün hansı marşrutu seçdiyini qeyd et, çünki asimmetrik dönüş vəziyyətli yoxlamadan yan keçir və qurulan, sonra donan bağlantı yaradır. Hər iki istiqamət çəkdiyin sərhədi keçməlidir, əks halda sərhəd bəzəkdir.

sudo tcpdump -ni inside0 host 10.20.5.10
ip route get 10.20.5.10
sudo iptables -t nat -S POSTROUTING

İcazə verilmiş və rədd edilmiş əməliyyatı birlikdə qəbul et

İdarəetmə hostundan deyil, həqiqi uzaq müştəridən sına, çünki idarəetmə hostu adətən istifadəçinin heç vaxt olmayacağı yerdə oturur. Bir icazəli əməliyyat yolun işlədiyini, bir rədd edilmiş əməliyyat isə siyasətin ümumiyyətlə nəsə etdiyini sübut edir. Hər yerləşdirmə dəyişikliyindən sonra ikisini də işə sal və istifadə etdiyin mənbə kimliyini və hədəfi qeyd et. Yalnız uğuru sübut edən sınaq düzgün qaydanı çatışmayan qaydadan ayıra bilməz.

Sonra vəziyyəti dəyişən halları sına: yenidən qoşulma, açar rotasiyasından uzun yaşayan sessiya və cihazın özünün sıradan çıxması. Yeniləmələri, tutumu və bərpanı eyni sxemin hissəsi kimi müqayisə et, çünki bir neçə məntiqi nəzarət daşıyan bir cihaz bir neçə etiketli tək uğursuzluq domenidir. Ortaq inzibati etimadnamə və ya məhdudiyyətsiz marşrut yaratmalı olduğu sərhədi məğlub etdikdə ikinci qutu da müstəqil deyil.

Son nöqtəni, deşifrə olunmuş yolu və onu məhdudlaşdıran nəzarəti sənədləşdir. Bu üç sətir tətbiq necə adlanırsa da mənalı qalır.