Начертайте дешифрирания път: къде VPN устройството налага политика
Диаграма, която спира при шифрования слушател, не показва политиката, която има значение. Начертайте дешифрирания път и сравнете разположенията по това какво пресича заявката.
Диаграмите на доставчиците обикновено спират при шифрования слушател, защото това е частта с публичен адрес. Въпросът, който определя позицията по сигурност, е какво се случва след дешифрирането, когато пакетът стане обикновен IP и може да достигне всичко, което таблицата за маршрутизация позволява. Ако никой не е начертал този участък, никой не го притежава. Процедурата по-долу го чертае първо и след това сравнява разположенията по това какво дешифрираната заявка всъщност пресича.
Начертайте пакета след дешифриране, а не преди
Външният път е частта, която доставчиците документират: публична крайна точка, транспортна политика, която допуска връзката, и услуга, която я терминира. Вътрешният път започва в момента, в който пакетът загуби заглавката на тунела, и оттам се управлява от правила за маршрутизация и филтриране, които нямат нищо общо с тунела. Поставете двете на една страница, защото диаграма само с първото внушава, че допускането и оторизацията са едно решение. Те не са, и именно в разликата между тях повечето разположения се объркват.
Опишете вътрешния участък като номерирана последователност с наименувани типове устройства, а не като стрелка. Стрелката скрива дали заявката пресича филтър, а пресичането или не е целият въпрос. Всяка стъпка по-долу назовава устройството и набора правила, който действа там, така че липсващият филтър се появява като празнина, а не като нещо, внушено от линия.
- Отдалечен клиент: потребителското устройство, което създава тунела.
- Политика на ръба: наборът правила, който допуска външния транспорт до публичния слушател.
- Терминиращо устройство: крайната точка на VPN, която декапсулира и предава пакета на обикновения IP.
- Вътрешен филтър: наборът правила за препращане или групи за сигурност, който ограничава трафика клиент-към-услуга.
- Хост на приложението: услугата, която получава дешифрираната заявка.
Две политики, двама собственици
Външната политика отговаря кой може да установи тунел и се изразява в правилата, които допускат транспорта до терминиращата услуга. Вътрешната политика отговаря до коя услуга може да достигне удостоверен потребител и живее в правилата за препращане, групите за сигурност или самото приложение. Едно устройство може да хоства и двете, а проект с няколко устройства също има и двете. Именно отделното им назоваване ви позволява да кажете коя е отказала, когато потребител не може да достигне приложение.
Контролите за допускане като сертификати и многофакторно удостоверяване отговарят за самоличността и за нищо друго. Те не решават разположението и не дават разрешение за отделен ресурс, след като потребителят е вътре.
Разположението решава коя граница пресича заявката
Три разположения са често срещани и всяко променя коя граница пресича дешифрираната заявка. Сравнете ги по това какво терминира там, какво може да види открит текст, кой контрол все още може да откаже заявката и какво се проваля заедно с устройството. Таблицата по-долу използва тези четири колони вместо общ въпрос, защото всеки отговор е отделно проектно решение.
| Placement | What terminates there | What sees plaintext | Which control can still deny | Failure domain |
|---|---|---|---|---|
| Termination in a dedicated segment | A dedicated VPN endpoint | The endpoint and anything on its segment | The filter between that segment and the application | The segment path can bypass the filter if no rule sits on it |
| Termination on the edge firewall | The firewall's public listener | The firewall, after decapsulation | The firewall's inner rule set | Admission and inspection fail together |
| Termination on the protected LAN | The appliance's LAN leg | Every host on the protected LAN | Only a host control or a downstream gateway | The appliance and the protected hosts fail together |
Третото разположение е това, което тихо премахва налагането, защото участък в защитения сегмент дава на устройството директен път, който диаграмата може да не показва. Инспектирайте интерфейсите и маршрутите, а не картинката: ip route get 10.20.5.10 показва през кой интерфейс пакетът ще излезе и отговорът често не е този, който проектът е предполагал. Класическата роля на защитната стена да контролира трафика между позиции, както е описано вNIST SP 800-41, е полезна проверка тук, защото устройство с неограничен участък към защитената мрежа не контролира много. Търсенето на маршрут е по-честна диаграма от тази в презентацията.
Администрацията принадлежи на свой собствен изрично разрешен път. Разрешаването на потребителите да достигат приложение никога не изисква да им се разреши достъп до интерфейса за управление на устройството, и двете разрешения трябва да се дават от различни правила. Одитирайте двата пътя отделно, защото споделено правило скрива кой е отворен.
Транслацията променя какво виждат правилата надолу по веригата
Транслацията на източника е удобна и унищожава информация. След маскарада всеки клиент изглежда като устройството, така че правило надолу по веригата, написано да различава потребители, вече не може да го прави. Това не е само проблем с журналите, а проблем с политиката: правило, ключово по адрес на клиента, тихо става правило, ключово по шлюза. Ако политиката за отделен потребител е важна, запазете източника или наложете политиката преди транслацията.
Пътят на отговора заслужава същото внимание. Запишете кой маршрут избира дестинацията за връщащия пакет, защото асиметричното връщане заобикаля инспекцията със състояние и създава връзка, която се установява и после засича. И двете посоки трябва да пресичат начертаната граница, иначе границата е украшение.
sudo tcpdump -ni inside0 host 10.20.5.10
ip route get 10.20.5.10
sudo iptables -t nat -S POSTROUTINGПриемете разрешена операция и отказана
Тествайте от истинския отдалечен клиент, а не от административен хост, защото административният хост обикновено стои там, където потребителят никога няма да бъде. Една разрешена операция доказва, че пътят работи, а една отказана операция доказва, че политиката въобще прави нещо. Изпълнявайте и двете след всяка промяна на разположението и записвайте самоличността на източника и дестинацията, които сте използвали. Тест, който доказва само успех, не може да различи правилно правило от липсващо.
След това тествайте случаите, които променят състоянието: повторно свързване, сесия, която преживява ротация на ключ, и отказ на самото устройство. Сравнете актуализациите, капацитета и възстановяването като част от същото разположение, защото едно устройство, което държи няколко логически контрола, е един домейн на отказ с няколко етикета. Втора кутия също не е независима, когато споделени административни идентификационни данни или неограничен маршрут победят границата, която е трябвало да създаде.
Документирайте крайната точка, дешифрирания път и контрола, който го ограничава. Тези три реда остават смислени, както и да се нарича реализацията.