Sut i gyfyngu mynediad rhwng dau swyddfa sy'n gysylltiedig â VPN

Mae twnnel safle-i-safle yn ateb un cwestiwn, a all y ddau swyddfa gyfnewid pecynnau, ac yn gadael yr un pwysig yn agored: pa ddyfais gangen a gyrhaedda ba wasanaeth canolog. Trin y twnnel fel ymddiriedaeth gilyddol yw'r ffordd y daw gliniadur gwestai i'r un llwybr â'r gweinydd cyllid. Nid twnnel gwell yw'r ateb, ond rhestr ganiatáu eglur a orfodir ar ôl dadgryptio. Mae'r llawlyfr hwn yn mynd â'r rhestr honno o ddiffiniad i wadiad wedi'i brofi.

Gweithiwch yn y drefn hon, ac na ledwch lwybr y twnnel nes bod y camau polisi isod yn pasio.

Ysgrifennwch y matrics cyn cyffwrdd â'r porth

Mae rhes ddefnyddiol yn enwi tri pheth: grŵp ffynhonnell, gwesteiwr neu rwydwaith gwasanaeth cyrchfan, a'r protocol a'r porthladd y mae'r cymhwysiad yn eu defnyddio mewn gwirionedd. Nid yw'r gangen a'r ganolfan ddata yn gofnodion. Dim ond pan na all y cymhwysiad weithio hebddynt y mae DNS preifat a gwasanaethau dilysu yn haeddu eu rhesi eu hunain.

Grwpiwch ffynonellau yn ôl rôl yn hytrach nag yn ôl hwylustod is-rwydwaith: staff, gwestai, gweinyddiaeth. Pan fo'r tri yn rhannu un LAN fflat, ni all y porth eu gwahaniaethu ar haen y rhwydwaith, felly rhaid i reolaethau hunaniaeth neu segmentu ddod yn gyntaf. Yna rhowch y matrics ar bapur gyda pherchennog a dyddiad adolygu ar bob rhes.

Gorfodwch lle mae'r pecynnau'n cael eu dadgryptio

Mae'r rheolau sy'n caniatáu IKE ac ESP ond yn adeiladu'r twnnel allanol. Daw traffig mewnol i mewn yn glir ar ryngwyneb y twnnel, a dyna lle mae'r rhestr ganiatáu yn perthyn: cadwyn anfon ymlaen ar y ddyfais ddadgryptiedig, gollwng diofyn, un rheol fesul rhes fatrics. Ar byrth Linux mae hynny'n golygu anfon ymlaen wedi'i alluogi a rheolau hidlo ar ddyfais y twnnel, nid ar y cyswllt ffisegol, fel y mae canllaw anfon ymlaen strongSwan yn ei egluro.

Penderfyniad llwybro yw dewiswyr traffig, nid penderfyniad awdurdodi. Gall dewisydd llydan sy'n cwmpasu'r ddau is-rwydwaith fod yn iawn ar gyfer llwybro tra bo'r mur cadarn yn dal i ganiatáu dim ond TCP 443 i un gwesteiwr. Mae'r dewisydd yn cael ei drafod ar gyfer y twnnel ac yn disgrifio'r hyn a gaiff fynd i mewn iddo, nid yr hyn y caiff unrhyw ddyfais ei ddefnyddio. Peidiwch byth â lledu rheol mur cadarn am fod y dewisydd yn llydan.

iptables -A FORWARD -i tun0 -s 10.20.0.0/24 -d 10.10.5.10 -p tcp --dport 443 -j ACCEPT
iptables -A FORWARD -i tun0 -j DROP

Mae NAT ac is-rwydweithiau sy'n gorgyffwrdd yn newid y rheolau

Pan fo porth y gangen yn cyfieithu pob gwesteiwr i un cyfeiriad cyn y twnnel, mae pob rhes sy'n seiliedig ar ffynhonnell yn cwympo i'r un cyfeiriad hwnnw. Naill ai stopiwch gyfieithu traffig y twnnel, neu derbyniwch fod yn rhaid i reolau ddibynnu ar rywbeth arall, fel y cyfeiriad ffynhonnell gwreiddiol a gofnodwyd cyn y cyfieithu. Mae gan y pen pell yr un broblem, oherwydd bod gwesteiwr y cyrchfan yn gweld y cyfeiriad ar ôl NAT yn hytrach na'r un gwreiddiol.

Ystodau sy'n gorgyffwrdd yw'r fagl arall. Ni ellir disgrifio dau swyddfa sy'n defnyddio 192.168.1.0/24 ill dau mewn un tabl polisi heb fapio un ochr, ac nid yw mapio yn cymryd lle cyfeiriannu nad yw'n gwrthdaro. Trwsiwch y cynllun cyn ysgrifennu rheolau y bydd yn rhaid eu dad-droi yn ddiweddarach.

Profwch wadiad, nid llwyddiant yn unig

Nid yw profi'r cymhwysiad a ganiateir yn unig yn profi fawr ddim, oherwydd bod rheol barod yn rhywle i fyny'r afon yn rhoi'r un canlyniad.

O ddyfais gangen gyffredin, cyrhaeddwch y gwasanaeth a fwriedir a chadarnhewch fod y sesiwn gyfan yn gweithio. Yna rhowch gynnig ar gyrchfan sy'n rhaid iddi aros ar gau, fel porthladd gweinyddol ar weinydd nad oes gan y gangen fusnes iddo, a darllenwch y cyfrifwr neu'r cofnod log a'i gollwng. Mae analluogi'r set rheolau i weld a yw'n gweithio yn gwneud y prawf yn annilys ac yn gadael y porth yn agored tra byddwch yn edrych.

Cadwch y rhestr yn fyw

Mae cymwysiadau'n symud, ac mae rheol sy'n goroesi ei chymhwysiad yn troi'n dwll nad oes neb yn berchen arno. Cysylltwch y dyddiad adolygu â'r rhes, a newidiwch gwmpas y dewisydd a'r rheol mur cadarn yn yr un cam cynnal a chadw pan fydd gwasanaeth yn symud cyfeiriad.

Mae cyfyngiadau ar lefel gwesteiwr yn dal i fod yn bwysig y tu ôl i'r twnnel: dylai mur cadarn y gweinydd ei hun dderbyn ystod y gangen yn unig ar gyfer y gwasanaeth y mae'n ei gyhoeddi. Mae dwy haen sy'n cytuno yn haws eu harchwilio nag un haen sy'n cael ei hymddiried yn llwyr.