След разшифроване: коя политика вижда първа VPN трафика ви

Един VPN поток може да е идеално криптиран и идеално удостоверен и пак да попадне там, където никой не е планирал. Кабелът, който включвате, не определя кое правило обработва вътрешния пакет; това правят политическата кука и маршрутът. Затова два дизайна, които изглеждат еднакво на схемата на стелажа, може да имат напълно различно изпълнение. Изборът между тях започва с назоваване на контрола, който вижда пръв разшифрования поток.

Решавайте по политическата кука, не по порта, в който включвате

Всяка VPN платформа оценява разшифрования трафик в някаква точка преди да го препрати и тази точка има име в конфигурацията. На една платформа това е филтър на групова политика, на друга — интерфейсна политика или двойка зони, а на маршрутизиращо устройство може да е просто веригата forward. Куката налага правилото, а комутаторският порт е само мястото, където свършва кабелът. Намирането на куката е първото решение, защото всичко останало е разположение спрямо нея.

Преди да гледате хардуер, запишете потока: кой е източникът, накъде отива, кой протокол го носи и коя услуга е разрешена. После намерете контрола, който налага всеки от тези четири факта.

Два пътя, две различни истории на изпълнение

Две форми са често срещани и всяка може да е правилна за различно изискване.

endpoint -> shared inside subnet -> server
endpoint -> dedicated transit -> policy firewall -> server subnet

Първата форма може да наложи всичко необходимо на шлюза, стига политиката на шлюза да е написана за тази дестинация и сървърът да няма път около нея. Втората форма добавя граница, но само ако маршрутите и политиката наистина карат трафика да минава през нея. Сървър на същия сегмент като крайната точка може никога да не последва въображаемия междинен хоп. Схемата показва намерение, а таблицата с маршрути показва какво се случва.

Проверявайте с търсене на маршрут, а не с рисунката. Интерфейсът, от който излиза пакетът, и избраният следващ хоп решават дали втората форма работи както е проектирана.

ip route get 10.30.7.20
sudo iptables -S FORWARD
sudo tcpdump -ni inside0 host 10.30.7.20

Разделяйте топологията от изолацията

Споделянето на подмрежа не прави мястото ненадеждно, а отделният транзит не го прави защитено. Решава реално приложеното ограничение, реално случващото се препращане и кой администрира всяка част. Броенето на комутатори не казва нищо за нито едно от трите. Решавайте от политиката и маршрута, а топологията нека следва решението.

Отнасяйте се към групите трафик отделно. Пулсовете за отдалечен достъп, префиксите сайт-сайт и мрежите по отделни линии може да споделят едно устройство и пак да се нуждаят от различни правила, защото идентичностите и рискът им се различават. Правило, написано за една група, тихо покрива другите, когато споделят адресен план.

Проверявайте отказа и управлението за всяко разположение

Всяко разположение има режим на отказ и полезният въпрос е какво още работи, когато компонент спре. Няколко логически интерфейса на едно мъртво устройство не дават независимо възстановяване, а долен защитен екран със същото захранване или същия администратор не е втора граница. Питайте къде минава пътят за управление, защото конзола, достъпна само през тунела, изобщо не е път за възстановяване; ssh [email protected] true отвън на тунела е най-евтиният начин да докажете, че конзолата не зависи от него. Документацията за групова политика на една платформа поставя филтъра си върху трафик след разшифроване и преди криптиране, което е точно такъв именуван кук, какъвто да търсите във всеки продукт.

Напишете историята на отказа за всеки кандидат до историята на изпълнението. Разположение, което печели при преглед и губи при възстановяване, е компромис и трябва да се запише като такъв, вместо да се открие по време на инцидент.

Приемайте с разрешен и със забранен поток

С одобрен тестов план проверете три неща от реалния VPN източник: приложение, което трябва да работи, ресурс, който не трябва, и посоката, по която се връща отговорът. Отказът е доказателството, че политиката е включена, докато разрешеният поток доказва само, че има път.

Пазете избрания път и резултата от политиката заедно, защото резултат без път не може да се възпроизведе, а път без резултат не може да се защити. Тази двойка е много по-полезна за избор на точка на свързване от всяко твърдение кое ниво на комутация е по-безопасно по природа.