Després del desxifrat: quina política veu primer el vostre trànsit VPN

Un flux VPN pot estar perfectament xifrat i perfectament autenticat i, tot i així, acabar on ningú no havia planejat. El cable que connecteu no determina quina regla processa el paquet intern; ho fan el ganxo de política i la ruta. Per això dos dissenys que semblen idèntics en un diagrama de rack poden tenir una aplicació completament diferent. Triar entre ells comença per anomenar el control que veu primer el flux desxifrat.

Decidiu pel ganxo de política, no pel port on connecteu

Cada plataforma VPN avalua el trànsit desxifrat en algun punt abans de reenviar-lo, i aquest punt té un nom a la configuració. En una plataforma és un filtre de política de grup, en una altra una política d’interfície o un parell de zones, i en un aparell que encamina pot ser simplement la cadena forward. El ganxo és el que aplica la regla, mentre que el port de commutació només és on acaba el cable. Trobar el ganxo és la primera decisió, perquè tota la resta és col·locació respecte d’ell.

Abans de mirar maquinari, escriviu el flux: qui és l’origen, on va, quin protocol el porta i quin servei està permès. Després trobeu el control que aplica cadascun d’aquests quatre fets.

Dues rutes, dues històries d’aplicació diferents

Dues formes són habituals, i cadascuna pot ser correcta per a un requisit diferent.

endpoint -> shared inside subnet -> server
endpoint -> dedicated transit -> policy firewall -> server subnet

La primera forma pot aplicar tot el que necessita a la passarel·la, sempre que la política de la passarel·la estigui escrita per a aquesta destinació i el servidor no tingui cap camí que la voregi. La segona forma afegeix una frontera, però només si les rutes i la política fan que el trànsit hi passi de debò. Un servidor al mateix segment que el punt final pot no seguir mai el salt intermedi imaginat. El diagrama mostra la intenció i la taula d’encaminament mostra què passa.

Verifiqueu amb una consulta de ruta i no amb el dibuix. La interfície per la qual surt el paquet i el següent salt que tria decideixen si la segona forma es comporta com es va dissenyar.

ip route get 10.30.7.20
sudo iptables -S FORWARD
sudo tcpdump -ni inside0 host 10.30.7.20

Separeu la topologia de l’aïllament

Compartir una subxarxa no fa que un lloc no sigui fiable, i un trànsit dedicat no el fa protegit. El que decideix és la restricció realment aplicada, el reenviament que realment passa i qui administra cada peça. Comptar commutadors no diu res sobre cap de les tres coses. Decidiu a partir de la política i la ruta, i després deixeu que la topologia segueixi la decisió.

Tracteu també les poblacions de trànsit per separat. Els pools d’accés remot, els prefixos lloc a lloc i les xarxes de línia privada poden compartir un aparell i necessitar regles diferents, perquè la seva identitat i el seu risc difereixen. Una regla escrita per a una població cobreix silenciosament les altres quan comparteixen un pla d’adreces.

Comproveu el fracàs i la gestió de cada ubicació

Cada ubicació té un mode de fallada, i la pregunta útil és què continua funcionant quan un component s’atura. Diverses interfícies lògiques en un sol aparell mort no donen recuperació independent, i un tallafoc posterior que comparteix la mateixa alimentació o el mateix administrador no és una segona frontera. Pregunteu per on passa el camí de gestió, perquè una consola accessible només pel túnel no és cap camí de recuperació; ssh [email protected] true des de fora del túnel és la manera més barata de provar que la consola no en depèn. La documentació de política de grup d’una plataforma posa el seu filtre en trànsit posterior al desxifrat i previ al xifrat, que és exactament el tipus de ganxo anomenat que cal buscar en qualsevol producte.

Escriviu la història de fallada de cada candidat al costat de la història d’aplicació. Una ubicació que guanya en inspecció i perd en recuperació és un intercanvi, i s’ha de registrar com a tal en lloc de descobrir-se durant un incident.

Accepteu amb un flux permès i un de denegat

Amb un pla de proves aprovat, comproveu tres coses des de l’origen VPN real: una aplicació que hauria de funcionar, un recurs que no hauria, i la direcció per la qual torna la resposta. La denegació és l’evidència que la política està activa, mentre que el flux permès només demostra que hi ha un camí.

Conserveu el camí triat i el resultat de la política junts, perquè un resultat sense camí no es pot reproduir i un camí sense resultat no es pot defensar. Aquesta parella és molt més útil per triar un punt d’adjunció que qualsevol afirmació sobre quina capa de commutació és inherentment més segura.