Lluniwch y llwybr dadgryptio: ble mae offeryn VPN yn gorfodi polisi
Nid yw diagram sy'n stopio wrth y gwrandawr amgryptiedig yn dangos y polisi sy'n bwysig. Lluniwch y llwybr dadgryptio, yna cymharwch leoliadau wrth yr hyn y mae'r cais yn ei groesi.
Mae diagramau gwerthwyr fel arfer yn stopio wrth y gwrandawr amgryptiedig, oherwydd dyna'r rhan sydd â chyfeiriad cyhoeddus. Y cwestiwn sy'n penderfynu ar y sefyllfa ddiogelwch yw beth sy'n digwydd ar ôl dadgryptio, pan ddaw'r pecyn yn IP cyffredin a gall gyrraedd popeth y mae'r tabl llwybro'n ei ganiatáu. Os na luniwyd y goes honno, nid oes neb yn berchen arni. Mae'r runbook isod yn ei luniadu gyntaf ac yna'n cymharu lleoliadau wrth yr hyn y mae'r cais dadgryptiedig yn ei groesi mewn gwirionedd.
Lluniwch y pecyn ar ôl dadgryptio, nid o'i flaen
Y llwybr allanol yw'r rhan y mae gwerthwyr yn ei dogfennu: pwynt terfyn cyhoeddus, polisi cludo sy'n derbyn y cysylltiad, a gwasanaeth sy'n terfynu. Mae'r llwybr mewnol yn dechrau'r eiliad y mae'r pecyn yn colli ei bennawd twmffat, ac oddi yno fe'i llywodraethir gan reolau llwybro a hidlo nad oes ganddynt ddim i wneud â'r twmffat. Rhowch y ddau ar yr un dudalen, oherwydd mae diagram â'r cyntaf yn unig yn awgrymu bod derbyn ac awdurdodi yn un penderfyniad. Nid ydynt, a'r bwlch rhyngddynt yw lle mae'r rhan fwyaf o leoliadau'n mynd o'i le.
Ysgrifennwch y goes fewnol fel dilyniant rhifedig gyda mathau o ddyfeisiau wedi'u henwi yn hytrach nag fel saeth. Mae saeth yn cuddio a yw'r cais yn croesi hidlydd, a chroesi neu beidio yw'r cwestiwn cyfan. Mae pob cam isod yn enwi'r ddyfais a'r set reolau sy'n gweithredu yno, felly mae hidlydd ar goll yn ymddangos fel bwlch yn hytrach nag fel rhywbeth a awgrymir gan linell.
- Cleient o bell: y ddyfais defnyddiwr sy'n creu'r twmffat.
- Polisi ymyl: y set reolau sy'n derbyn y cludiant allanol i'r gwrandawr cyhoeddus.
- Dyfais derfynu: y pwynt terfyn VPN sy'n dadgapsio ac yn trosglwyddo'r pecyn i IP cyffredin.
- Hidlydd mewnol: y set reolau anfon ymlaen neu grwpiau diogelwch sy'n cyfyngu traffig cleient-i-wasanaeth.
- Gwesteiwr cymhwysiad: y gwasanaeth sy'n derbyn y cais dadgryptiedig.
Dau bolisi, dau berchennog
Mae'r polisi allanol yn ateb pwy a gaiff sefydlu twmffat, a'i fynegi yn y rheolau sy'n derbyn y cludiant i'r gwasanaeth terfynu. Mae'r polisi mewnol yn ateb pa wasanaeth y caiff defnyddiwr dilysedig ei gyrraedd, ac mae'n byw mewn rheolau anfon ymlaen, grwpiau diogelwch neu'r cymhwysiad ei hun. Gall un ddyfais gynnal y ddau, ac mae gan ddyluniad â sawl dyfais y ddau o hyd. Enwi'r ddau ar wahân sy'n eich galluogi i ddweud pa un a fethodd pan na all defnyddiwr gyrraedd cymhwysiad.
Mae rheolyddion derbyn fel tystysgrifau a dilysu aml-ffactor yn ateb hunaniaeth a dim arall. Nid ydynt yn penderfynu ar leoliad, ac nid ydynt yn rhoi caniatâd fesul adnodd unwaith y mae defnyddiwr i mewn.
Mae'r lleoliad yn penderfynu pa ffin y mae'r cais yn ei chroesi
Mae tri lleoliad yn gyffredin, ac mae pob un yn newid pa ffin y mae'r cais dadgryptiedig yn ei chroesi. Cymharwch hwy wrth yr hyn sy'n terfynu yno, beth all weld testun plaen, pa reolydd a all wrthod y cais o hyd, a beth sy'n methu gyda'r ddyfais. Mae'r tabl isod yn defnyddio'r pedair colofn hynny yn lle cwestiwn cyffredinol, oherwydd mae pob ateb yn benderfyniad dylunio ar wahân.
| Placement | What terminates there | What sees plaintext | Which control can still deny | Failure domain |
|---|---|---|---|---|
| Termination in a dedicated segment | A dedicated VPN endpoint | The endpoint and anything on its segment | The filter between that segment and the application | The segment path can bypass the filter if no rule sits on it |
| Termination on the edge firewall | The firewall's public listener | The firewall, after decapsulation | The firewall's inner rule set | Admission and inspection fail together |
| Termination on the protected LAN | The appliance's LAN leg | Every host on the protected LAN | Only a host control or a downstream gateway | The appliance and the protected hosts fail together |
Y trydydd lleoliad yw'r un sy'n dileu gorfodaeth yn ddistaw, oherwydd mae coes ar y segment gwarchodedig yn rhoi llwybr uniongyrchol i'r ddyfais na fydd y diagram o bosibl yn ei ddangos. Archwiliwch y rhyngwynebau a'r llwybrau yn hytrach na'r llun: mae ip route get 10.20.5.10 yn adrodd pa ryngwyneb y byddai'r pecyn yn gadael drwyddo, ac yn aml nid yr ateb yw'r un a ragdybiai'r dyluniad. Mae rôl glasurol y mur gwarchod o reoli traffig rhwng sefyllfaoedd, fel y'i disgrifir ynNIST SP 800-41, yn brawf defnyddiol yma, oherwydd nid yw dyfais â choes ddilyffethair i'r rhwydwaith gwarchodedig yn rheoli llawer. Mae chwiliad llwybr yn ddiagram mwy gonest na'r un yn y cyflwyniad.
Mae gweinyddiaeth yn perthyn i'w llwybr ei hun a ganiateir yn benodol. Nid yw caniatáu i ddefnyddwyr gyrraedd cymhwysiad byth yn gofyn caniatáu iddynt gyrraedd rhyngwyneb rheoli'r ddyfais, a dylid rhoi'r ddau ganiatâd o reolau gwahanol. Archwiliwch y ddau lwybr ar wahân, oherwydd mae rheol a rennir yn cuddio pa un a agorwyd.
Mae cyfieithu'n newid beth all rheolau islaw ei weld
Mae cyfieithu ffynhonnell yn gyfleus ac yn dinistrio gwybodaeth. Ar ôl masquerade mae pob cleient yn edrych fel y ddyfais, felly ni all rheol islaw a ysgrifennwyd i wahaniaethu defnyddwyr wneud hynny mwyach. Nid problem logio yn unig yw hon, problem polisi yw hi: mae rheol sy'n seiliedig ar gyfeiriad cleient yn troi'n dawel yn rheol sy'n seiliedig ar y giât. Os yw polisi fesul defnyddiwr yn bwysig, cadwch y ffynhonnell neu gorfodwch y polisi cyn cyfieithu.
Mae'r llwybr ateb yn haeddu'r un archwiliad. Cofnodwch pa lwybr y mae'r cyrchfan yn ei ddewis ar gyfer y pecyn dychwelyd, oherwydd mae dychweliad anghymesur yn osgoi archwiliad cyflwr ac yn cynhyrchu cysylltiad sy'n sefydlu ac yna'n tagu. Rhaid i'r ddau gyfeiriad groesi'r ffin a luniwyd gennych, neu mae'r ffin yn addurn.
sudo tcpdump -ni inside0 host 10.20.5.10
ip route get 10.20.5.10
sudo iptables -t nat -S POSTROUTINGDerbyniwch weithred a ganiateir ac un a wrthodwyd
Profwch o'r cleient o bell go iawn yn hytrach nag o westeiwr rheoli, oherwydd mae'r gwesteiwr rheoli fel arfer yn eistedd yn rhywle na fydd y defnyddiwr byth. Mae un weithred a ganiateir yn profi bod y llwybr yn gweithio, ac mae un weithred a wrthodwyd yn profi bod y polisi'n gwneud rhywbeth o gwbl. Rhedwch y ddau ar ôl pob newid lleoliad, a chofnodwch hunaniaeth y ffynhonnell a'r gyrchfan a ddefnyddiwyd gennych. Ni all prawf sy'n profi llwyddiant yn unig wahaniaethu rheol gywir oddi wrth un sydd ar goll.
Yna profwch yr achosion sy'n newid cyflwr: ailgysylltiad, sesiwn sy'n goroesi cylchdro allwedd, a methiant y ddyfais ei hun. Cymharwch ddiweddariadau, capasiti ac adferiad fel rhan o'r un cynllun, oherwydd mae un ddyfais sy'n dal sawl rheolydd rhesymegol yn un parth methiant â sawl label. Nid yw ail flwch yn annibynnol chwaith pan fydd credensial gweinyddol a rennir neu lwybr dilyffethair yn trechu'r ffin yr oedd i'w chreu.
Dogfennwch y pwynt terfyn, y llwybr dadgryptiedig a'r rheolydd sy'n ei gyfyngu. Mae'r tair llinell hynny'n parhau'n ystyrlon beth bynnag y gelwir y gweithrediad.