Пасля расшыфроўкі: якая палітыка першай бачыць ваш трафік VPN

Паток VPN можа быць цалкам зашыфраваны і цалкам аўтэнтыфікаваны і ўсё ж апынуцца там, дзе ніхто не планаваў. Кабель, які вы ўстаўляеце, не вызначае, якое правіла апрацуе ўнутраны пакет; гэта робяць палітычны хук і маршрут. Таму два дызайны, якія выглядаюць аднолькава на схемах сцяжара, могуць мець цалкам рознае выкананне. Выбар паміж імі пачынаецца з назвы кантролю, які першым бачыць расшыфраваны паток.

Вырашайце па палітычным хуку, а не па порту, у які ўключаецеся

Кожная платформа VPN ацэньвае расшыфраваны трафік у нейкі момант перад яго перадачай, і гэты момант мае назву ў канфігурацыі. На адной платформе гэта фільтр групавой палітыкі, на другой — палітыка інтэрфейсу або пара зон, а на маршрутызатары — проста ланцуг forward. Хук выконвае правіла, а порт камутатара — толькі месца, дзе сканчаецца кабель. Знайсці хук — першае рашэнне, бо ўсё астатняе — гэта размяшчэнне адносна яго.

Перш чым глядзець на абсталяванне, запішыце паток: хто крыніца, куды ён ідзе, які пратакол яго нясе і якая паслуга дазволена. Затым знайдзіце кантроль, які выконвае кожны з гэтых чатырох фактаў.

Два шляхі, дзве розныя гісторыі выканання

Дзве формы сустракаюцца часта, і кожная можа быць правільнай для розных патрабаванняў.

endpoint -> shared inside subnet -> server
endpoint -> dedicated transit -> policy firewall -> server subnet

Першая форма можа выканаць усё неабходнае на шлюзе, пры ўмове што палітыка шлюза напісана для гэтага пункту прызначэння і сервер не мае шляху ў абыход яго. Другая форма дадае мяжу, але толькі калі маршруты і палітыка сапраўды прымушаюць трафік ісці праз яе. Сервер на тым жа сегменце, што і канчатковы пункт, можа ніколі не пайсці па ўяўным прамежкавым пераходзе. Схема паказвае намер, а табліца маршрутызацыі — што адбываецца.

Правярайце пошукам маршруту, а не малюнкам. Інтэрфейс, з якога выходзіць пакет, і абраны наступны пераход вызначаюць, ці дзейнічае другая форма так, як задумана.

ip route get 10.30.7.20
sudo iptables -S FORWARD
sudo tcpdump -ni inside0 host 10.30.7.20

Аддзяляйце тапалогію ад ізаляцыі

Агульная падсетка не робіць месца недавераным, а выдзелены транзіт не робіць яго абароненым. Вырашае фактычна ўжытае абмежаванне, фактычная перадача і тое, хто кіруе кожнай часткай. Падлік камутатараў не кажа нічога ні пра адно з гэтага. Вырашайце па палітыцы і маршруце, а тапалогія няхай ідзе за рашэннем.

Разглядайце групы трафіку асобна. Пулы аддаленага доступу, прэфіксы сайт-сайт і сеткі выдзеленых ліній могуць дзяліць адзін прыбор і ўсё ж патрабаваць розных правілаў, бо іх ідэнтычнасць і рызыка розныя. Правіла, напісанае для адной групы, маўкліва накрывае іншыя, калі яны дзеляць план адрасоў.

Правярайце адмовы і кіраванне для кожнага размяшчэння

Кожнае размяшчэнне мае рэжым адмовы, і карыснае пытанне — што працуе, калі кампанент спыняецца. Некалькі лагічных інтэрфейсаў на адным мёртвым прыборы не даюць незалежнага аднаўлення, а ніжэйшы фэйрвол з тым жа сілкаваннем ці тым жа адміністратарам не ёсць другая мяжа. Спытайце, дзе ідзе шлях кіравання, бо кансоль, даступная толькі праз тунель, зусім не шлях аднаўлення; ssh [email protected] true звонку тунеля — самы танны спосаб даказаць, што кансоль ад яго не залежыць. Дакументацыя групавой палітыкі адной платформы ставіць свой фільтр на трафік пасля расшыфроўкі і перад шыфраваннем, і гэта менавіта той названы хук, якога варта шукаць у любым прадукце.

Запішыце гісторыю адмовы кожнага кандыдата побач з гісторыяй выканання. Размяшчэнне, якое перамагае на аглядзе і прайграе на аднаўленні, — гэта кампраміс, і яго трэба зафіксаваць так, а не выяўляць падчас інцыдэнту.

Прымайце з дазволеным і забароненым патокам

Маючы зацверджаны план тэставання, праверце тры рэчы з рэальнай крыніцы VPN: праграму, якая павінна працаваць, рэсурс, які не павінен, і кірунак, у якім вяртаецца адказ. Адмова — гэта доказ, што палітыка задзейнічана, а дазволены паток даказвае толькі існаванне шляху.

Захоўвайце абраны шлях і вынік палітыкі разам, бо вынік без шляху немагчыма паўтарыць, а шлях без выніку немагчыма абараніць. Гэтая пара значна карыснейшая для выбару пункту падключэння, чым любое сцвярджэнне пра тое, які ўзровень камутацыі ўласна бяспечнейшы.