Μετά την αποκρυπτογράφηση: ποια πολιτική βλέπει πρώτη την κίνηση VPN σας

Μια ροή VPN μπορεί να είναι τέλεια κρυπτογραφημένη και τέλεια πιστοποιημένη και παρόλα αυτά να καταλήξει κάπου που κανείς δεν σχεδίασε. Το καλώδιο που συνδέετε δεν καθορίζει ποιος κανόνας επεξεργάζεται το εσωτερικό πακέτο· αυτό το κάνουν το άγκιστρο πολιτικής και η διαδρομή. Γι’ αυτό δύο σχέδια που φαίνονται ίδια σε ένα διάγραμμα rack μπορεί να έχουν εντελώς διαφορετική επιβολή. Η επιλογή μεταξύ τους ξεκινά με την ονομασία του ελέγχου που βλέπει πρώτος τη ροή μετά την αποκρυπτογράφηση.

Αποφασίστε με το άγκιστρο πολιτικής, όχι με τη θύρα που συνδέετε

Κάθε πλατφόρμα VPN αξιολογεί την αποκρυπτογραφημένη κίνηση σε κάποιο σημείο πριν την προωθήσει, και αυτό το σημείο έχει όνομα στη διαμόρφωση. Σε μια πλατφόρμα είναι φίλτρο πολιτικής ομάδας, σε άλλη πολιτική διασύνδεσης ή ζεύγος ζωνών, και σε μια συσκευή που δρομολογεί μπορεί να είναι απλώς η αλυσίδα forward. Το άγκιστρο επιβάλλει τον κανόνα, ενώ η θύρα του μεταγωγέα είναι μόνο το σημείο όπου τελειώνει το καλώδιο. Η εύρεση του αγκίστρου είναι η πρώτη απόφαση, γιατί όλα τα άλλα είναι τοποθέτηση σε σχέση με αυτό.

Πριν κοιτάξετε υλικό, γράψτε τη ροή: ποια είναι η πηγή, πού πηγαίνει, ποιο πρωτόκολλο τη μεταφέρει και ποια υπηρεσία επιτρέπεται. Μετά βρείτε τον έλεγχο που επιβάλλει καθένα από αυτά τα τέσσερα γεγονότα.

Δύο διαδρομές, δύο διαφορετικές ιστορίες επιβολής

Δύο μορφές είναι συνηθισμένες και καθεμία μπορεί να είναι σωστή για διαφορετική απαίτηση.

endpoint -> shared inside subnet -> server
endpoint -> dedicated transit -> policy firewall -> server subnet

Η πρώτη μορφή μπορεί να επιβάλει ό,τι χρειάζεται στην πύλη, με την προϋπόθεση ότι η πολιτική της πύλης είναι γραμμένη για αυτόν τον προορισμό και ο διακομιστής δεν έχει διαδρομή που την παρακάμπτει. Η δεύτερη μορφή προσθέτει ένα όριο, αλλά μόνο αν οι διαδρομές και η πολιτική κάνουν πραγματικά την κίνηση να το διασχίσει. Ένας διακομιστής στο ίδιο τμήμα με το τελικό σημείο μπορεί να μην ακολουθήσει ποτέ το φανταστικό ενδιάμεσο άλμα. Το διάγραμμα δείχνει την πρόθεση και ο πίνακας δρομολόγησης δείχνει τι συμβαίνει.

Επαληθεύστε με αναζήτηση διαδρομής και όχι με το σχέδιο. Η διασύνδεση από την οποία φεύγει το πακέτο και το επόμενο άλμα που επιλέγει καθορίζουν αν η δεύτερη μορφή συμπεριφέρεται όπως σχεδιάστηκε.

ip route get 10.30.7.20
sudo iptables -S FORWARD
sudo tcpdump -ni inside0 host 10.30.7.20

Διαχωρίστε την τοπολογία από την απομόνωση

Το κοινό υποδίκτυο δεν κάνει ένα σημείο αναξιόπιστο και η αποκλειστική διέλευση δεν το κάνει προστατευμένο. Αυτό που αποφασίζει είναι ο περιορισμός που εφαρμόζεται πραγματικά, η προώθηση που πραγματικά συμβαίνει και ποιος διαχειρίζεται κάθε κομμάτι. Το μέτρημα μεταγωγέων δεν λέει τίποτα για κανένα από τα τρία. Αποφασίστε από την πολιτική και τη διαδρομή και αφήστε την τοπολογία να ακολουθήσει την απόφαση.

Αντιμετωπίστε και τους πληθυσμούς κίνησης ξεχωριστά. Οι δεξαμενές απομακρυσμένης πρόσβασης, τα προθέματα τοποθεσίας-σε-τοποθεσία και τα δίκτυα μισθωμένων γραμμών μπορούν να μοιράζονται μία συσκευή και να χρειάζονται διαφορετικούς κανόνες, γιατί η ταυτότητα και ο κίνδυνός τους διαφέρουν. Ένας κανόνας γραμμένος για έναν πληθυσμό καλύπτει σιωπηλά τους άλλους όταν μοιράζονται ένα σχέδιο διευθύνσεων.

Ελέγξτε αστοχία και διαχείριση για κάθε τοποθέτηση

Κάθε τοποθέτηση έχει τρόπο αστοχίας και το χρήσιμο ερώτημα είναι τι συνεχίζει να λειτουργεί όταν σταματήσει ένα εξάρτημα. Πολλές λογικές διασυνδέσεις σε μια νεκρή συσκευή δεν σας δίνουν ανεξάρτητη ανάκτηση, και ένα τείχος προστασίας πιο κάτω που μοιράζεται την ίδια τροφοδοσία ή τον ίδιο διαχειριστή δεν είναι δεύτερο όριο. Ρωτήστε πού περνά η διαδρομή διαχείρισης, γιατί μια κονσόλα προσβάσιμη μόνο μέσω της σήραγγας δεν είναι καθόλου διαδρομή ανάκτησης; ssh [email protected] true από έξω από τη σήραγγα είναι ο φθηνότερος τρόπος να αποδείξετε ότι η κονσόλα δεν εξαρτάται από αυτήν. Η τεκμηρίωση πολιτικής ομάδας μιας πλατφόρμας τοποθετεί το φίλτρο της σε κίνηση μετά την αποκρυπτογράφηση και πριν την κρυπτογράφηση, που είναι ακριβώς το είδος ονομασμένου αγκίστρου που πρέπει να αναζητάτε σε κάθε προϊόν.

Γράψτε την ιστορία αστοχίας κάθε υποψηφίου δίπλα στην ιστορία επιβολής. Μια τοποθέτηση που κερδίζει στην επιθεώρηση και χάνει στην ανάκτηση είναι ανταλλαγή και πρέπει να καταγράφεται ως τέτοια αντί να ανακαλύπτεται κατά τη διάρκεια ενός περιστατικού.

Αποδεχτείτε με επιτρεπόμενη και απαγορευμένη ροή

Με εγκεκριμένο σχέδιο δοκιμών, ελέγξτε τρία πράγματα από την πραγματική πηγή VPN: μια εφαρμογή που πρέπει να λειτουργεί, έναν πόρο που δεν πρέπει, και την κατεύθυνση από την οποία επιστρέφει η απάντηση. Η άρνηση είναι η απόδειξη ότι η πολιτική εμπλέκεται, ενώ η επιτρεπόμενη ροή αποδεικνύει μόνο ότι υπάρχει διαδρομή.

Διατηρήστε τη διαδρομή και το αποτέλεσμα της πολιτικής μαζί, γιατί ένα αποτέλεσμα χωρίς διαδρομή δεν αναπαράγεται και μια διαδρομή χωρίς αποτέλεσμα δεν υπερασπίζεται. Αυτό το ζεύγος είναι πολύ πιο χρήσιμο για την επιλογή σημείου σύνδεσης από οποιονδήποτε ισχυρισμό για το ποιο επίπεδο μεταγωγής είναι εγγενώς ασφαλέστερο.