Šifrirani tranzit ne daje pristup operateru

Dva odobrena gatewaya prenose saobraćaj mreže sa nižim povjerenjem preko ograničene transportne mreže. Šifriranje korisnog tereta čini ga nečitljivim za obične posmatrače u tranzitu, a to je dio koji ljudi prvo dizajniraju i onda prestanu o njemu razmišljati. Ono što šifriranje ne radi jeste da odredi kojim resursima strana sa nižim povjerenjem smije pristupiti. Dizajn treba dvije granice: jednu oko prenesenog razgovora i jednu oko pristupa samom operateru.

Izvedite korake ispod po redu i tretirajte neuspjeh na bilo kojem koraku kao promjenu dizajna, a ne kao podešavanje konfiguracije.

Definišite obje granice prije nego što dotaknete konfiguraciju

Prva granica je razgovor: koji parovi gatewaya smiju uspostaviti tunel i koji unutrašnji saobraćaj smije proći kroz njega. Druga je operater: kojim adresama i servisima hostovi sa nižim povjerenjem mogu pristupiti izvan tunela. Timovi obično grade prvu, a drugu nasljeđuju od bilo kojeg rutiranja koje je već postojalo, i tako ograničen dizajn tiho postaje širok. To nasljeđivanje je uobičajen korijen problema kada pregled otkrije da host sa nižim povjerenjem razgovara sa nečim što niko nije odobrio.

Zapišite obje kao liste adresa, portova i smjerova. Ako se lista ne može zapisati, granica još nije definirana.

Korak 1: ograničite vanjski tunel

Na interfejsu okrenutom operateru dozvolite samo ono što tunelu treba: IKE na UDP 500 i 4500 između dvije adrese gatewaya i ESP tamo gdje se NAT traversal ne koristi. Odbijte sve ostalo što stiže na taj interfejs, uključujući upravljačke protokole. Specifikacija ESP-a pokriva zaštitne servise; ona ne govori ništa o tome koje vlastite servise operatera gatewayi smiju koristiti. Izrazite to kao eksplicitnu listu dozvola, kako novoobjavljeni servis operatera ne bi postao dostupan po defaultu.

Ovo je skup pravila koji dizajn čini tranzitnim dizajnom, a ne peering aranžmanom.

Provjerite to sa strane sa nižim povjerenjem, ne sa konzole gatewaya. Host tamo treba da ne može doći do DNS servera operatera čak i prije nego što je tunel podignut.

Korak 2: odlučite šta udaljeni gateway isporučuje

Na udaljenom kraju obnovljeni saobraćaj mora ići na konkretno mjesto. Definišite koji su unutrašnji servisi dozvoljeni, iz kojih raspona izvora i očekuju li se simetrični odgovori. Pregledajte upravljački pristup odvojeno, jer isti gateway često izlaže administrativni interfejs koji nikada nije bio dio tranzitnog plana.

Dijagram koji staje na uspješnom dešifriranju preskočio je odluku koja je najvažnija.

Korak 3: zadržite vlasništvo po sloju

Tranzitna oprema još prima i prosljeđuje vanjske pakete, pa joj trebaju zakrpe i planiranje kapaciteta. Krajnje točke tunela obrađuju zaštićeni protokol i izlažu unutrašnji saobraćaj svojoj putanji prosljeđivanja, pa im trebaju vlastita pravila i vlastiti monitoring. Završne aplikacije obrađuju korisni teret, a neproziran teret nije dokaz da je dešifrirano preuzimanje bezopasno.

Dodijelite vlasnika svakom sloju. Slojevi bez vlasnika su oni koji odlutaju.

Korak 4: provjerite, pa predajte nadležnom tijelu

Provjerite vanjsku putanju sa podignutim tunelom i pravilima operatera na mjestu. Zatim isprobajte svaki resurs kojem strana sa nižim povjerenjem ne smije pristupiti i potvrdite da je neuspjeh odbijanje, a ne tajmaut koji skriva rutu. Provjerite i dostupnost i ograničenja resursa, jer se i šifrirana veza može zasititi.

Za regulisana ili klasificirana okruženja odnesite dizajn nadležnom sigurnosnom tijelu i koristite njegovu odobrenu arhitekturu razdvajanja. VPN konfiguracija i konceptualno objašnjenje ne uspostavljaju akreditaciju. Taj korak nije papirologija; on odlučuje smije li dizajn uopće postojati.