Şifrələnmiş tranzit daşıyıcıya giriş hüququ vermir

İki təsdiqlənmiş gateway aşağı etibarlı şəbəkənin trafikini məhdudlaşdırılmış tranzit şəbəkəsi üzərindən daşıyır. Yükün şifrələnməsi onu adi tranzit müşahidəçiləri üçün oxunmaz saxlayır və bu, insanların əvvəlcə dizayn edib sonra düşünməyi dayandırdığı hissədir. Şifrələmənin etmədiyi şey, aşağı etibarlı tərəfin hansı resurslara çata biləcəyini müəyyən etməkdir. Dizaynın iki sərhədə ehtiyacı var: biri daşınan söhbətin ətrafında, digəri isə daşıyıcının özünə girişin ətrafında.

Aşağıdakı addımları ardıcıllıqla yerinə yetirin və hər hansı addımdaki uğursuzluğu konfiqurasiya düzəlişi deyil, dizayn dəyişikliyi kimi qəbul edin.

Konfiqurasiyaya toxunmazdan əvvəl hər iki sərhədi müəyyən edin

Birinci sərhəd söhbətdir: hansı gateway cütləri tunel qura bilər və onun içindən hansı daxili trafikə icazə verilir. İkincisi daşıyıcıdır: aşağı etibarlı hostlar tuneldən kənarda hansı ünvanlara və xidmətlərə çata bilər. Komandalar adətən birincini qurur, ikincini isə mövcud olan istənilən marşrutlaşdırmadan miras alır və məhdud dizayn beləcə səssizcə geniş bir dizayna çevrilir. Bu miras, yoxlama aşağı etibarlı hostun heç kimin təsdiqləmədiyi bir şeylə danışdığını aşkar etdikdə adi kök səbəbdir.

Hər ikisini ünvanların, portların və istiqamətlərin siyahıları kimi yazın. Əgər siyahı yazıla bilmirsə, sərhəd hələ müəyyən edilməyib.

Addım 1: xarici tuneli məhdudlaşdırın

Daşıyıcıya baxan interfeysdə yalnız tunelin ehtiyac duyduğuna icazə verin: iki gateway ünvanı arasında UDP 500 və 4500 üzərində IKE, və NAT traversallığının istifadə olunmadığı yerlərdə ESP. Həmin interfeysə gələn qalan hər şeyi, o cümlədən idarəetmə protokollarını rədd edin. ESP spesifikasiyası qoruma xidmətlərini əhatə edir; o, gateway-lərin daşıyıcının hansı öz xidmətlərindən istifadə edə biləcəyi barədə heç nə demir. Bunu açıq icazə siyahısı kimi ifadə edin ki, yeni dərc edilmiş daşıyıcı xidməti standart olaraq əlçatan olmasın.

Bu, dizaynı peerinq razılaşması deyil, tranzit dizaynı edən qaydalar toplusudur.

Bunu gateway konsolundan deyil, aşağı etibarlı tərəfdən yoxlayın. Oradaki host tunel qurulmazdan əvvəl belə daşıyıcının DNS serverinə çata bilməməlidir.

Addım 2: uzaq gateway-in nə çatdırdığına qərar verin

Uzaq ucda bərpa olunan trafik konkret bir yerə getməlidir. Hansı daxili xidmətlərə icazə verildiyini, hansı mənbə aralıqlarından və cavabların simmetrik olmasının gözlənilib-gözlənilmədiyini müəyyən edin. İdarəetmə girişini ayrıca nəzərdən keçirin, çünki eyni gateway çox vaxt tranzit planının heç vaxt hissəsi olmayan inzibati interfeysi açıq saxlayır.

Uğurlu deşifrələmədə dayanan diaqram ən vacib qərarı atlayıb.

Addım 3: hər qat üzrə sahibliyi qoruyun

Tranzit avadanlığı hələ də xarici paketləri qəbul edir və yönləndirir, buna görə ona yamaqlar və tutum planlaması lazımdır. Tunel son nöqtələri qorunan protokolu emal edir və daxili trafiki öz yönləndirmə yoluna açır, buna görə onlara öz qaydaları və öz monitorinqi lazımdır. Son tətbiqlər yükü emal edir və qeyri-şəffaf yük deşifrə edilmiş yükləmənin zərərsiz olmasına sübut deyil.

Hər qata bir sahib təyin edin. Sahibi olmayan qatlar məhz sürüşən qatlardır.

Addım 4: yoxlayın, sonra səlahiyyətli orqana təhvil verin

Xarici yolu tunel qurulmuş və daşıyıcı qaydaları yerində olarkən yoxlayın. Sonra aşağı etibarlı tərəfin çatmamalı olduğu hər resursu sınayın və uğursuzluğun marşrutu gizlədən bir timeout deyil, rədd olduğunu təsdiqləyin. Əlçatanlığı və resurs limitlərini də yoxlayın, çünki şifrələnmiş bir link də doyurula bilər.

Tənzimlənən və ya məxfi mühitlər üçün dizaynı məsul təhlükəsizlik orqanına aparın və onun təsdiqlənmiş ayrılma arxitekturasından istifadə edin. VPN konfiqurasiyası və konseptual izah akkreditasiya yaratmır. Bu addım kağız işi deyil; dizaynın ümumiyyətlə mövcud olmasına icazə verilib-verilmədiyini həll edir.