Efter dekryptering: hvilken politik ser din VPN-trafik først

Et VPN-flow kan være perfekt krypteret og perfekt godkendt og alligevel ende et sted, ingen havde planlagt. Kablet, du sætter i, afgør ikke, hvilken regel der behandler den indre pakke; det gør politik-krogen og ruten. Derfor kan to design, der ser ens ud på et rackdiagram, have helt forskellig håndhævelse. Valget mellem dem begynder med at navngive den kontrol, der ser det dekrypterede flow først.

Beslut ud fra politik-krogen, ikke porten du sætter i

Enhver VPN-platform vurderer dekrypteret trafik på et tidspunkt, før den videresendes, og det punkt har et navn i konfigurationen. På én platform er det et gruppepolitikfilter, på en anden en interfacepolitik eller et zone-par, og på en router kan det være blot forward-kæden. Krogen håndhæver reglen, mens switchporten kun er der, hvor kablet ender. At finde krogen er den første beslutning, fordi alt andet er placering i forhold til den.

Før du ser på hardware, skriv flowet ned: hvem kilden er, hvor det skal hen, hvilken protokol der bærer det, og hvilken tjeneste der er tilladt. Find derefter den kontrol, der håndhæver hver af de fire fakta.

To veje, to forskellige historier om håndhævelse

To former er almindelige, og hver kan være rigtig til forskellige krav.

endpoint -> shared inside subnet -> server
endpoint -> dedicated transit -> policy firewall -> server subnet

Den første form kan håndhæve alt nødvendigt i gatewayen, forudsat at gatewaypolitikken er skrevet til den destination, og at serveren ikke har en vej udenom. Den anden form tilføjer en grænse, men kun hvis ruterne og politikken faktisk får trafikken til at passere den. En server på samme segment som endepunktet følger måske aldrig det tænkte mellemhop. Diagrammet viser hensigten, og rutetabellen viser, hvad der sker.

Verificér med et ruteopslag i stedet for med tegningen. Det interface, en pakke forlader via, og det næste hop, den vælger, afgør, om den anden form opfører sig som designet.

ip route get 10.30.7.20
sudo iptables -S FORWARD
sudo tcpdump -ni inside0 host 10.30.7.20

Adskil topologi fra isolering

At dele et subnet gør ikke et sted utroværdigt, og en dedikeret transit gør det ikke beskyttet. Det afgørende er den begrænsning, der faktisk anvendes, den videresendelse, der faktisk sker, og hvem der administrerer hver del. At tælle switches siger intet om nogen af de tre. Beslut ud fra politikken og ruten, og lad så topologien følge beslutningen.

Behandl trafikpopulationer separat. Fjernadgangspuljer, site-til-site-præfikser og private line-netværk kan dele én enhed og stadig kræve forskellige regler, fordi deres identitet og risiko er forskellig. En regel skrevet til én population dækker stille de andre, når de deler en adresseplan.

Kontrollér fejl og administration for hver placering

Hver placering har en fejltilstand, og det nyttige spørgsmål er, hvad der stadig virker, når en komponent stopper. Flere logiske interfaces på en enkelt død enhed giver dig ingen uafhængig genopretning, og en nedstrøms firewall med samme strømforsyning eller samme administrator er ikke en anden grænse. Spørg, hvor administrationsvejen løber, fordi en konsol, der kun kan nås via tunnelen, slet ikke er en genopretningsvej; ssh [email protected] true udefra tunnelen er den billigste måde at bevise, at konsollen ikke afhænger af den. Gruppepolitikdokumentationen for én platform placerer sit filter på trafik efter dekryptering og før kryptering, hvilket er præcis den slags navngivne krog, man skal lede efter i ethvert produkt.

Skriv fejlhistorien for hver kandidat ved siden af håndhævelseshistorien. En placering, der vinder på inspektion og taber på genopretning, er en handel, og den bør registreres som sådan i stedet for at blive opdaget under en hændelse.

Accepter med et tilladt og et afvist flow

Med en godkendt testplan, kontrollér tre ting fra den rigtige VPN-kilde: en applikation, der bør virke, en ressource, der ikke bør, og den retning, svaret kommer tilbage på. Afvisningen er beviset for, at politikken er aktiv, mens det tilladte flow kun beviser, at der findes en vej.

Bevar den valgte rute og politikresultatet sammen, fordi et resultat uden ruten ikke kan genskabes, og en rute uden resultatet ikke kan forsvares. Det par er langt mere nyttigt til at vælge et tilslutningspunkt end nogen påstand om, hvilket switchlag der i sig selv er sikrere.