Nach der Entschlüsselung: Welche Policy sieht Ihren VPN-Verkehr zuerst

Das Kabel sagt nichts darüber, welche Regel den Flow verarbeitet hat. Benennen Sie den Policy-Hook und den nächsten Hop, und belegen Sie, dass die Antwort denselben Pfad nimmt.

Ein VPN-Flow kann perfekt verschlüsselt und perfekt authentifiziert sein und trotzdem dort landen, wo niemand es geplant hat. Das Kabel, das Sie einstecken, bestimmt nicht, welche Regel das innere Paket verarbeitet; das tun der Policy-Hook und die Route. Zwei Designs, die auf einem Rackplan identisch aussehen, können daher eine völlig unterschiedliche Durchsetzung haben. Die Entscheidung zwischen ihnen beginnt damit, die Kontrolle zu benennen, die den entschlüsselten Flow zuerst sieht.

Entscheiden Sie nach dem Policy-Hook, nicht nach dem Port

Jede VPN-Plattform bewertet entschlüsselten Verkehr an irgendeinem Punkt, bevor sie ihn weiterleitet, und dieser Punkt hat in der Konfiguration einen Namen. Auf einer Plattform ist es ein Gruppenrichtlinienfilter, auf einer anderen eine Interface-Policy oder ein Zonenpaar, und auf einem Router kann es einfach die Forward-Kette sein. Der Hook erzwingt die Regel, während der Switch-Port nur der Ort ist, an dem das Kabel endet. Den Hook zu finden ist die erste Entscheidung, denn alles andere ist Platzierung relativ zu ihm.

Bevor Sie Hardware ansehen, schreiben Sie den Flow auf: wer die Quelle ist, wohin er geht, welches Protokoll ihn trägt und welcher Dienst erlaubt ist. Dann finden Sie die Kontrolle, die jede dieser vier Tatsachen durchsetzt.

Zwei Wege, zwei verschiedene Geschichten der Durchsetzung

Zwei Formen sind verbreitet, und jede kann für eine andere Anforderung richtig sein.

endpoint -> shared inside subnet -> server
endpoint -> dedicated transit -> policy firewall -> server subnet

Die erste Form kann alles Nötige am Gateway durchsetzen, sofern die Gateway-Policy für dieses Ziel geschrieben ist und der Server keinen Weg daran vorbei hat. Die zweite Form fügt eine Grenze hinzu, aber nur wenn die Routen und die Policy den Verkehr tatsächlich hindurchführen. Ein Server im selben Segment wie der Endpunkt folgt dem gedachten Zwischenhop vielleicht nie. Das Diagramm zeigt die Absicht, die Routing-Tabelle zeigt, was passiert.

Prüfen Sie mit einem Routen-Lookup statt mit der Zeichnung. Das Interface, über das ein Paket das Gerät verlässt, und der gewählte nächste Hop entscheiden, ob die zweite Form wie entworfen arbeitet.

ip route get 10.30.7.20
sudo iptables -S FORWARD
sudo tcpdump -ni inside0 host 10.30.7.20

Trennen Sie Topologie von Isolation

Ein gemeinsames Subnetz macht einen Ort nicht unseriös, und ein dedizierter Transit macht ihn nicht geschützt. Entscheidend ist die tatsächlich angewandte Beschränkung, die tatsächlich stattfindende Weiterleitung und wer jedes Teil administriert. Switches zu zählen sagt nichts über eines der drei. Entscheiden Sie aus Policy und Route, und lassen Sie die Topologie der Entscheidung folgen.

Behandeln Sie Verkehrspopulationen ebenfalls getrennt. Remote-Access-Pools, Site-to-Site-Präfixe und Standleitungsnetze können ein Gerät teilen und trotzdem unterschiedliche Regeln brauchen, weil ihre Identität und ihr Risiko sich unterscheiden. Eine für eine Population geschriebene Regel deckt die anderen still mit ab, wenn sie einen Adressplan teilen.

Prüfen Sie Ausfall und Management für jede Platzierung

Jede Platzierung hat einen Ausfallmodus, und die nützliche Frage ist, was noch funktioniert, wenn eine Komponente ausfällt. Mehrere logische Interfaces auf einem einzigen toten Gerät geben keine unabhängige Wiederherstellung, und eine nachgelagerte Firewall mit derselben Stromversorgung oder demselben Administrator ist keine zweite Grenze. Fragen Sie, wo der Managementpfad verläuft, denn eine Konsole, die nur über den Tunnel erreichbar ist, ist überhaupt kein Wiederherstellungspfad; ssh [email protected] true von außerhalb des Tunnels ist der billigste Weg zu beweisen, dass die Konsole nicht davon abhängt. Die Dokumentation zur Gruppenrichtlinie einer Plattform legt ihren Filter auf Verkehr nach der Entschlüsselung und vor der Verschlüsselung, genau die Art benannter Hook, nach der man in jedem Produkt suchen sollte.

Schreiben Sie die Ausfallgeschichte jedes Kandidaten neben die Durchsetzungsgeschichte. Eine Platzierung, die bei der Prüfung gewinnt und bei der Wiederherstellung verliert, ist ein Tausch, und sie sollte als solcher festgehalten werden, statt während eines Vorfalls entdeckt zu werden.

Abnahme mit einem erlaubten und einem verweigerten Flow

Prüfen Sie mit einem genehmigten Testplan drei Dinge aus der echten VPN-Quelle: eine Anwendung, die funktionieren soll, eine Ressource, die es nicht soll, und die Richtung, in der die Antwort zurückkommt. Die Verweigerung ist der Beleg, dass die Policy greift, während der erlaubte Flow nur beweist, dass ein Pfad existiert.

Bewahren Sie den gewählten Pfad und das Policy-Ergebnis zusammen auf, denn ein Ergebnis ohne Pfad ist nicht reproduzierbar und ein Pfad ohne Ergebnis nicht verteidigbar. Dieses Paar ist für die Wahl eines Anschlusspunkts weit nützlicher als jede Behauptung, welche Switching-Ebene von Natur aus sicherer sei.

Ähnliche Artikel