El trànsit xifrat no atorga accés a l'operador

Dues passarel·les aprovades transporten el trànsit d'una xarxa de menys confiança a través d'una xarxa de transport restringida. Xifrar la càrrega útil la manté il·legible per als observadors ordinaris del trànsit, i aquesta és la part que la gent dissenya primer i després deixa de pensar-hi. El que el xifratge no fa és definir quins recursos pot assolir el costat de menys confiança. El disseny necessita dues fronteres: una al voltant de la conversa transportada i una al voltant de l'accés al mateix operador.

Executeu els passos següents en ordre i tracteu qualsevol fallada en qualsevol pas com un canvi de disseny, no com un retoc de configuració.

Definiu totes dues fronteres abans de tocar cap configuració

La primera frontera és la conversa: quins parells de passarel·les poden establir un túnel i quin trànsit intern es permet a través seu. La segona és l'operador: quines adreces i serveis poden assolir els amfitrions de menys confiança fora del túnel. Els equips normalment construeixen la primera i hereten la segona de qualsevol encaminament que ja existís, i així un disseny restringit es converteix silenciosament en un d'ample. Aquesta herència és la causa arrel habitual quan una revisió troba un amfitrió de menys confiança parlant amb alguna cosa que ningú va aprovar.

Escriviu totes dues com a llistes d'adreces, ports i direccions. Si una llista no es pot escriure, la frontera encara no està definida.

Pas 1: restringiu el túnel exterior

A la interfície orientada a l'operador, permeteu només el que el túnel necessita: IKE a UDP 500 i 4500 entre les dues adreces de passarel·la, i ESP allà on no s'utilitza el travessament NAT. Denegueu tota la resta que arribi a aquesta interfície, incloent-hi els protocols de gestió. L'especificació ESP cobreix els serveis de protecció; no diu res sobre quins serveis propis de l'operador poden utilitzar les passarel·les. Expresseu-ho com una llista d'autoritzacions explícita, perquè un servei de l'operador publicat recentment no esdevingui accessible per defecte.

Aquest és el conjunt de regles que fa que el disseny sigui un disseny de trànsit i no un acord d'emparellament.

Comproveu-ho des del costat de menys confiança, no des de la consola de la passarel·la. Un amfitrió d'allà hauria de no poder assolir un servidor DNS de l'operador fins i tot abans que el túnel estigui aixecat.

Pas 2: decidiu què lliura la passarel·la remota

A l'extrem remot, el trànsit recuperat ha d'anar a un lloc concret. Definiu quins serveis interns es permeten, des de quins rangs d'origen i si s'espera que les respostes siguin simètriques. Reviseu l'accés de gestió per separat, perquè la mateixa passarel·la sovint exposa una interfície administrativa que mai no formava part del pla de trànsit.

Un diagrama que s'atura en un desxifratge correcte ha omès la decisió que més importa.

Pas 3: manteniu la propietat per capa

L'equip de trànsit encara rep i reenvia paquets exteriors, així que necessita pedaços i planificació de capacitat. Els extrems del túnel processen el protocol protegit i exposen el trànsit intern al seu camí de reenviament, així que necessiten les seves pròpies regles i el seu propi monitoratge. Les aplicacions finals processen la càrrega útil, i una càrrega opaca no és prova que una descàrrega desxifrada sigui inofensiva.

Assigneu un propietari a cada capa. Les capes sense propietari són les que es desvien.

Pas 4: verifiqueu, i després lliureu-ho a l'autoritat

Verifiqueu el camí exterior amb el túnel aixecat i les regles de l'operador al seu lloc. Després proveu cada recurs que el costat de menys confiança no hauria d'assolir i confirmeu que la fallada és una denegació i no un temps d'espera que amaga una ruta. Comproveu també la disponibilitat i els límits de recursos, perquè un enllaç xifrat encara es pot saturar.

Per a entorns regulats o classificats, porteu el disseny a l'autoritat de seguretat responsable i utilitzeu la seva arquitectura de separació aprovada. Una configuració de VPN i una explicació conceptual no estableixen acreditació. Aquest pas no és paperassa; decideix si el disseny pot existir.