Com limitar l’accés entre dues oficines connectades per VPN

Un túnel d’oficina a oficina respon una pregunta, si les dues oficines poden intercanviar paquets, i deixa oberta la important: quin dispositiu de la sucursal pot arribar a quin servei central. Tractar el túnel com a confiança mútua és la manera com un portàtil d’invitat acaba al mateix camí que el servidor financer. La solució no és un túnel millor, sinó una llista d’autoritzacions explícita aplicada després del desxifratge. Aquest manual porta aquesta llista de la definició a una denegació demostrada.

Treballeu en aquest ordre i no amplieu la ruta del túnel fins que passin els passos de política següents.

Escriviu la matriu abans de tocar la passarel·la

Una fila útil anomena tres coses: un grup d’origen, un amfitrió o xarxa de servei de destinació, i el protocol i el port que l’aplicació fa servir realment. La sucursal i el centre de dades no són entrades. Els DNS privats i els serveis d’autenticació mereixen files pròpies només quan l’aplicació no pot funcionar sense ells.

Agrupeu els orígens per rol i no per comoditat de subxarxa: personal, convidats, administració. Quan tots tres comparteixen una LAN plana, la passarel·la no els pot distingir a la capa de xarxa, així que els controls d’identitat o la segmentació han d’arribar primer. Després poseu la matriu per escrit amb un responsable i una data de revisió a cada fila.

Apliqueu-ho on es desxifren els paquets

Les regles que permeten IKE i ESP només construeixen el túnel exterior. El trànsit interior arriba en clar a la interfície del túnel, i és aquí on va la llista d’autoritzacions: una cadena de reenviament al dispositiu desxifrat, descart per defecte, una regla per fila de la matriu. A les passarel·les Linux això vol dir reenviament activat i regles de filtratge al dispositiu del túnel, no a l’enllaç físic, tal com explica la guia de reenviament d’strongSwan.

Els selectors de trànsit són una decisió d’encaminament, no d’autorització. Un selector ampli que cobreix les dues subxarxes pot ser correcte per a l’encaminament mentre el tallafoc encara només permet TCP 443 cap a un amfitrió. El selector es negocia per al túnel i descriu què hi pot entrar, no què pot fer servir un dispositiu concret. No amplieu mai una regla de tallafoc perquè el selector sigui ampli.

iptables -A FORWARD -i tun0 -s 10.20.0.0/24 -d 10.10.5.10 -p tcp --dport 443 -j ACCEPT
iptables -A FORWARD -i tun0 -j DROP

NAT i subxarxes superposades canvien les regles

Quan la passarel·la de la sucursal tradueix cada amfitrió a una sola adreça abans del túnel, cada fila basada en l’origen col·lapsa en aquesta única adreça. O deixeu de traduir el trànsit del túnel, o accepteu que les regles han de dependre d’una altra cosa, com l’adreça d’origen original registrada abans de la traducció. L’extrem llunyà té el mateix problema, perquè l’amfitrió de destinació veu l’adreça posterior al NAT i no l’original.

Els rangs superposats són l’altra trampa. Dues oficines que fan servir totes dues 192.168.1.0/24 no es poden descriure en una sola taula de política sense mapar un costat, i un mapatge no substitueix un adreçament que no col·lisiona. Corregiu el pla abans d’escriure regles que haureu de desfer més tard.

Demostreu una denegació, no només un èxit

Provar només l’aplicació permesa demostra ben poc, perquè una regla permissiva en algun punt anterior produeix el mateix resultat.

Des d’un dispositiu corrent de la sucursal, arribeu al servei previst i confirmeu que tota la sessió funciona. Després proveu una destinació que ha de romandre tancada, com un port administratiu en un servidor al qual la sucursal no té res a fer, i llegiu el comptador o l’entrada de registre que la va descartar. Desactivar el conjunt de regles per comprovar si funciona invalida la prova i deixa la passarel·la oberta mentre mireu.

Manteniu la llista viva

Les aplicacions es mouen, i una regla que sobreviu a la seva aplicació es converteix en un forat que ningú posseeix. Lligueu la data de revisió a la fila i canvieu l’abast del selector i la regla de tallafoc en el mateix pas de manteniment quan un servei canvia d’adreça.

Les restriccions a nivell d’amfitrió encara importen darrere del túnel: el tallafoc propi del servidor hauria d’acceptar el rang de la sucursal només per al servei que publica. Dues capes que coincideixen són més fàcils d’auditar que una de sola en què es confia del tot.