Nakon dešifrovanja: koja politika prva vidi vaš VPN saobraćaj

VPN tok može biti savršeno šifrovan i savršeno autentifikovan, a ipak završiti tamo gdje niko nije planirao. Kabl koji uključite ne određuje koje pravilo obrađuje unutrašnji paket; to određuju politička kuka i ruta. Zato dva dizajna koja na dijagramu izgledaju isto mogu imati potpuno različito izvršenje. Odluka između njih počinje imenovanjem kontrole koja prva vidi dešifrovani tok.

Odlučujte po političkoj kuki, ne po portu u koji se uključujete

Svaka VPN platforma procenjuje dešifrovani saobraćaj u nekoj tački prije nego što ga proslijedi, a ta tačka ima ime u konfiguraciji. Na jednoj platformi to je filter grupne politike, na drugoj politika interfejsa ili par zona, a na ruteru može biti samo forward lanac. Kuka sprovodi pravilo, dok je port prekidača samo mjesto gdje kabl završava. Pronalaženje kuke je prva odluka, jer je sve ostalo smještaj u odnosu na nju.

Prije nego što pogledate hardver, zapišite tok: ko je izvor, kuda ide, koji protokol ga nosi i koja usluga je dozvoljena. Zatim pronađite kontrolu koja sprovodi svaku od te četiri činjenice.

Dva puta, dvije različite priče o izvršenju

Dva oblika su česta i svaki može biti ispravan za različit zahtjev.

endpoint -> shared inside subnet -> server
endpoint -> dedicated transit -> policy firewall -> server subnet

Prvi oblik može sprovesti sve što treba na gejtveju, pod uslovom da je politika gejtveja napisana za to odredište i da server nema put oko nje. Drugi oblik dodaje granicu, ali samo ako rute i politika stvarno tjeraju saobraćaj kroz nju. Server na istom segmentu kao krajnja tačka možda nikada neće slijediti zamišljeni međuskočni skok. Dijagram pokazuje namjeru, a tabela ruta pokazuje šta se događa.

Provjeravajte pretragom rute, a ne crtežom. Interfejs kroz koji paket izlazi i sljedeći skok koji bira odlučuju da li drugi oblik radi kako je projektovan.

ip route get 10.30.7.20
sudo iptables -S FORWARD
sudo tcpdump -ni inside0 host 10.30.7.20

Odvojite topologiju od izolacije

Zajednička podmreža ne čini mjesto nepouzdanim, a namjenski tranzit ga ne čini zaštićenim. Odlučuje stvarno primijenjeno ograničenje, stvarno prosleđivanje i to ko upravlja svakim dijelom. Brojanje prekidača ne govori ništa ni o jednoj od te tri stvari. Odlučite iz politike i rute, a topologija neka slijedi odluku.

Tretirajte populacije saobraćaja odvojeno. Pulevi za daljinski pristup, prefiksi lokacija i mreže iznajmljenih linija mogu dijeliti jedan uređaj i dalje tražiti različita pravila, jer se njihovi identiteti i rizik razlikuju. Pravilo napisano za jednu populaciju tiho pokriva ostale kad dijele adresni plan.

Provjerite otkaz i upravljanje za svaki smještaj

Svaki smještaj ima način otkaza, a korisno pitanje je šta još radi kad komponenta stane. Nekoliko logičkih interfejsa na jednom mrtvom uređaju ne daje nezavisni oporavak, a donji firewall koji dijeli isto napajanje ili istog administratora nije druga granica. Pitajte kuda ide put upravljanja, jer konzola dostupna samo kroz tunel nije nikakav put za oporavak; ssh [email protected] true izvan tunela najjeftiniji je način da dokažete da konzola ne zavisi od njega. Dokumentacija grupne politike jedne platforme stavlja svoj filter na saobraćaj poslije dešifrovanja i prije šifrovanja, što je upravo takva imenovana kuka koju treba tražiti u svakom proizvodu.

Napišite priču o otkazu za svakog kandidata uz priču o izvršenju. Smještaj koji pobjedi na pregledu a izgubi na oporavku je trgovina i treba biti zabilježen kao takav, a ne otkriven tokom incidenta.

Prihvatite sa dozvoljenim i zabranjenim tokom

Sa odobrenim planom testiranja provjerite tri stvari iz stvarnog VPN izvora: aplikaciju koja treba da radi, resurs koji ne treba, i smjer u kojem se odgovor vraća. Odbijanje je dokaz da je politika uključena, dok dozvoljeni tok samo dokazuje da put postoji.

Čuvajte izabranu rutu i rezultat politike zajedno, jer se rezultat bez rute ne može ponoviti, a ruta bez rezultata ne može odbraniti. Taj par je mnogo korisniji za izbor tačke priključenja od bilo koje tvrdnje o tome koji je sloj komutacije sam po sebi sigurniji.