Намалюйце дэшыфраваны шлях: дзе VPN-прылада прымяняе палітыку

Схемы пастаўшчыкоў звычайна спыняюцца на зашыфраваным слухачу, бо менавіта гэтая частка мае публічны адрас. Пытанне, якое вызначае становішча бяспекі, — што адбываецца пасля дэшыфравання, калі пакет становіцца звычайным IP і можа дасягнуць усяго, што дазваляе табліца маршрутызацыі. Калі ніхто не намаляваў гэтую частку, ніхто за яе не адказвае. Парадак ніжэй спачатку малюе яе, а затым параўноўвае размяшчэнні па тым, што дэшыфраваны запыт фактычна перасякае.

Малюйце пакет пасля дэшыфравання, а не да яго

Знешні шлях — гэта тое, што дакументуюць пастаўшчыкі: публічны канцавы пункт, палітыка транспарту, якая дапускае злучэнне, і служба, што завяршае злучэнне. Унутраны шлях пачынаецца ў момант, калі пакет губляе загаловак тунеля, і далей ім кіруюць правілы маршрутызацыі і фільтрацыі, якія не маюць нічога агульнага з тунелем. Змясціце абодва на адной старонцы, бо схема толькі з першым дае ўяўленне, што допуск і аўтарызацыя — адно рашэнне. Гэта не так, і менавіта ў прамежку паміж імі большасць размяшчэнняў робіцца няправільнай.

Запішыце ўнутранае плечо як нумараваную паслядоўнасць з названымі тыпамі прылад, а не як стрэлку. Стрэлка хавае, ці перасякае запыт фільтр, а перасячэнне ці не — гэта і ёсць усё пытанне. Кожны крок ніжэй называе прыладу і набор правілаў, які там дзейнічае, таму адсутны фільтр выглядае як прагал, а не як нешта, што вынікае з лініі.

1. Аддалены кліент: прылада карыстальніка, якая стварае тунель.
2. Палітыка ўскрайку: набор правілаў, які дапускае знешні транспарт да публічнага слухача.
3. Прылада, што завяршае: канцавы пункт VPN, які дэкапсулюе і перадае пакет звычайнаму IP.
4. Унутраны фільтр: набор правілаў перасылкі або груп бяспекі, які абмяжоўвае трафік ад кліента да службы.
5. Хост прыкладання: служба, якая атрымлівае дэшыфраваны запыт.

Дзве палітыкі, два ўладальнікі

Знешняя палітыка адказвае, хто можа ўсталяваць тунель, і выражаецца ў правілах, якія дапускаюць транспарт да службы, што завяршае. Унутраная палітыка адказвае, да якой службы можа дабрацца аўтэнтыфікаваны карыстальнік, і жыве ў правілах перасылкі, групах бяспекі або ў самім прыкладанні. Адна прылада можа ўтрымліваць абедзве, і праект з некалькімі прыладамі ўсё роўна мае абедзве. Менавіта асобнае называнне дазваляе сказаць, якая з іх адмовіла, калі карыстальнік не можа дасягнуць прыкладання.

Кантроль допуску, такі як сертыфікаты і шматафактарная аўтэнтыфікацыя, адказвае на пытанне асобы і ні на што болей. Ён не вызначае размяшчэнне і не дае дазволу па кожным рэсурсе пасля таго, як карыстальнік апынуўся ўнутры.

Размяшчэнне вызначае, якую мяжу перасякае запыт

Тры размяшчэнні распаўсюджаныя, і кожнае змяняе, якую мяжу перасякае дэшыфраваны запыт. Параўноўвайце іх па тым, што там завяршаецца, што можа бачыць адкрыты тэкст, які кантроль яшчэ можа адмовіць запыту і што выходзіць з ладу разам з прыладай. Табліца ніжэй выкарыстоўвае гэтыя чатыры слупкі замест агульнага пытання, бо кожны адказ — асобнае праектнае рашэнне.

Трэцяе размяшчэнне — тое, якое ціха здымае прымяненне, бо плечо на абароненым сегменце дае прыладзе прамы шлях, які схема можа не паказваць. Інспектуйце інтэрфейсы і маршруты, а не малюнак: ip route get 10.20.5.10 паведамляе, праз які інтэрфейс пакет выйдзе, і адказ часта не той, які меркаваў праект. Класічная роля міжсеткавага экрана ў кіраванні трафікам паміж станамі, як апісана ўNIST SP 800-41, — карысная праверка тут, бо прылада з неабмежаваным плечом да абароненай сеткі мала чым кіруе. Пошук маршруту — больш сумленная схема, чым тая, што ў прэзентацыі.

Адміністраванне належыць на свой уласны яўна дазволены шлях. Дазвол карыстальнікам дасягаць прыкладання ніколі не патрабуе дазволу дасягаць інтэрфейсу кіравання прыладай, і гэтыя два дазволы павінны выдавацца рознымі правіламі. Аўдытуйце абодва шляхі асобна, бо супольнае правіла хавае, які з іх адкрыты.

Трансляцыя змяняе тое, што бачаць правілы ніжэй па патоку

Трансляцыя крыніцы зручная і знішчае інфармацыю. Пасля маскараду кожны кліент выглядае як прылада, таму правіла ніжэй па патоку, напісанае, каб адрозніваць карыстальнікаў, больш не можа гэтага рабіць. Гэта не толькі праблема журнала, гэта праблема палітыкі: правіла, прывязанае да адраса кліента, ціха становіцца правілам, прывязаным да шлюза. Калі палітыка па кожным карыстальніку важная, захавайце крыніцу або прымяніце палітыку да трансляцыі.

Шлях адказу заслугоўвае такой жа ўвагі. Запішыце, які маршрут прызначэнне выбірае для зваротнага пакета, бо асіметрычны зварот абыходзіць інспекцыю са станам і дае злучэнне, якое ўсталёўваецца і потым замірае. Абодва кірункі павінны перасякаць намаляваную мяжу, інакш мяжа — упрыгожанне.

sudo tcpdump -ni inside0 host 10.20.5.10
ip route get 10.20.5.10
sudo iptables -t nat -S POSTROUTING

Прыміце дазволеную аперацыю і адмовеную

Тэстуйце з сапраўднага аддаленага кліента, а не з адміністрацыйнага хоста, бо адміністрацыйны хост звычайна знаходзіцца там, дзе карыстальнік ніколі не будзе. Адна дазволеная аперацыя даказвае, што шлях працуе, а адна адмовеная даказвае, што палітыка наогул нешта робіць. Выконвайце абедзве пасля кожнай змены размяшчэння і запісвайце ідэнтычнасць крыніцы і прызначэнне, якія выкарыстоўвалі. Тэст, які даказвае толькі поспех, не можа адрозніць правільнае правіла ад адсутнага.

Затым праверце выпадкі, якія змяняюць стан: перападключэнне, сеанс, які перажывае ратацыю ключа, і адмова самай прылады. Параўноўвайце абнаўленні, ёмістасць і аднаўленне ў рамках адной кампаноўкі, бо адна прылада, што трымае некалькі лагічных кантроляў, — гэта адзін домен адмовы з некалькімі этыкеткамі. Другі кампутар таксама не незалежны, калі агульныя адміністрацыйныя ўліковыя даныя або неабмежаваны маршрут перамагаюць мяжу, якую ён мусіў стварыць.

Задакументуйце канцавы пункт, дэшыфраваны шлях і кантроль, які яго абмяжоўвае. Гэтыя тры радкі застаюцца значнымі, як бы рэалізацыя ні называлася.