Dibuixa el camí desxifrat: on un aparell VPN aplica la política

Els diagrames dels proveïdors solen aturar-se al listener xifrat, perquè és la part que té una adreça pública. La pregunta que decideix la postura de seguretat és què passa després del desxifrat, quan el paquet esdevé IP ordinària i pot arribar a tot el que permet la taula d'encaminament. Si ningú no ha dibuixat aquest tram, ningú no en respon. El runbook de sota el dibuixa primer i després compara les ubicacions pel que la petició desxifrada travessa realment.

Dibuixa el paquet després del desxifrat, no abans

El camí exterior és la part que els proveïdors documenten: un punt final públic, una política de transport que admet la connexió i un servei que la termina. El camí interior comença en el moment que el paquet perd la capçalera del túnel, i a partir d'aquí el governen regles d'encaminament i de filtratge que no tenen res a veure amb el túnel. Posa tots dos a la mateixa pàgina, perquè un diagrama només amb el primer insinua que admissió i autorització són una sola decisió. No ho són, i el buit entre elles és on fallen la majoria d'ubicacions.

Escriu el tram interior com una seqüència numerada amb tipus de dispositiu anomenats, no com una fletxa. Una fletxa amaga si la petició travessa un filtre, i travessar-lo o no és tota la qüestió. Cada salt de sota anomena el dispositiu i el conjunt de regles que hi actua, de manera que un filtre absent apareix com un buit en lloc d'insinuar-se amb una línia.

1. Client remot: el dispositiu de l'usuari que origina el túnel.
2. Política de vora: el conjunt de regles que admet el transport exterior al listener públic.
3. Aparell terminador: el punt final VPN que desencapsula i lliura el paquet a la IP ordinària.
4. Filtre interior: el conjunt de regles de reenviament o de grups de seguretat que limita el trànsit de client a servei.
5. Host d'aplicació: el servei que rep la petició desxifrada.

Dues polítiques, dos propietaris

La política exterior respon qui pot establir un túnel, i s'expressa en les regles que admeten el transport al servei terminador. La política interior respon a quin servei pot arribar un usuari autenticat, i viu en regles de reenviament, grups de seguretat o la mateixa aplicació. Un sol dispositiu pot allotjar les dues, i un disseny amb diversos dispositius encara té les dues. Anomenar-les per separat és el que et permet dir quina ha fallat quan un usuari no pot arribar a una aplicació.

Els controls d'admissió com els certificats i l'autenticació multifactor responen a la identitat i a res més. No decideixen la ubicació i no atorguen permís per recurs un cop l'usuari és a dins.

La ubicació decideix quina frontera travessa la petició

Tres ubicacions són habituals, i cadascuna canvia quina frontera travessa la petició desxifrada. Compara-les pel que termina allà, què pot veure el text pla, quin control encara pot denegar la petició i què falla amb l'aparell. La taula de sota fa servir aquestes quatre columnes en lloc d'una pregunta genèrica, perquè cada resposta és una decisió de disseny separada.

La tercera ubicació és la que elimina l'aplicació sense soroll, perquè un tram al segment protegit dóna a l'aparell un camí directe que el diagrama potser no mostra. Inspecciona les interfícies i les rutes en lloc de la imatge: ip route get 10.20.5.10 informa per quina interfície sortiria el paquet, i la resposta sovint no és la que el disseny va suposar. El paper clàssic del tallafoc de controlar el trànsit entre postures, tal com es descriu aNIST SP 800-41, és una prova útil aquí, perquè un dispositiu amb un tram sense restriccions cap a la xarxa protegida no controla gaire. Una consulta de ruta és un diagrama més honest que el de la presentació.

L'administració pertany al seu propi camí explícitament permès. Permetre que els usuaris arribin a una aplicació no requereix mai permetre'ls arribar a la interfície de control de l'aparell, i els dos permisos s'han de concedir amb regles diferents. Audita els dos camins per separat, perquè una regla compartida amaga quin s'ha obert.

La traducció canvia què poden veure les regles de baix

La traducció d'origen és còmoda i destrueix informació. Després del masquerade cada client sembla l'aparell, així que una regla de baix escrita per distingir usuaris ja no ho pot fer. No és només un problema de registre, és un problema de política: una regla basada en l'adreça del client esdevé en silenci una regla basada en la passarel·la. Si la política per usuari importa, preserva l'origen o aplica la política abans de la traducció.

El camí de resposta mereix la mateixa atenció. Registra quina ruta tria la destinació per al paquet de tornada, perquè un retorn asimètric evita la inspecció amb estat i produeix una connexió que s'estableix i després s'encalla. Totes dues direccions han de travessar la frontera que has dibuixat, o la frontera és decoració.

sudo tcpdump -ni inside0 host 10.20.5.10
ip route get 10.20.5.10
sudo iptables -t nat -S POSTROUTING

Accepta una operació permesa i una de denegada

Prova des del client remot real i no des d'un host de gestió, perquè l'host de gestió sol seure en un lloc on l'usuari no serà mai. Una operació permesa demostra que el camí funciona, i una de denegada demostra que la política fa alguna cosa. Executa les dues després de cada canvi d'ubicació i registra la identitat d'origen i la destinació que has fet servir. Una prova que només demostra èxit no pot distingir una regla correcta d'una que falta.

Després prova els casos que canvien d'estat: una reconnexió, una sessió que sobreviu a una rotació de claus i un fallo de l'aparell mateix. Compara actualitzacions, capacitat i recuperació com a part del mateix disseny, perquè un aparell que sosté diversos controls lògics és un sol domini de fallada amb diverses etiquetes. Una segona caixa tampoc no és independent quan una credencial administrativa compartida o una ruta sense restriccions derrota la frontera que havia de crear.

Documenta el punt final, el camí desxifrat i el control que el restringeix. Aquestes tres línies continuen tenint sentit sigui com sigui que es digui la implementació.