Τείχος προστασίας cloud έναντι τείχους προστασίας κεντρικού υπολογιστή για διακομιστή VPN

Επιτρέψτε τη θύρα VPN στην πολιτική του cloud και η χειραψία μπορεί ακόμη να πεθάνει στο στιγμιότυπο: ο φιλοξενούμενος εκτελεί το δικό του φίλτρο και τη δική του σύνδεση ακροατή, και οποιοδήποτε από τα δύο μπορεί να απορρίψει ό,τι ενέκρινε το cloud. Συμβαίνει και το αντίστροφο, όταν ένας κανόνας του κεντρικού υπολογιστή επιτρέπει τη θύρα και μια ανώτερη πολιτική την απορρίπτει πρώτη. Δύο ιδιοκτήτες, δύο σύνολα κανόνων, μία διαδρομή πακέτων. Διαβείτε την με σειρά αντί να μαντεύετε στο πιο ύποπτο επίπεδο.

Ξεκινήστε από την άκρη και προχωρήστε προς τα μέσα

Η σειρά είναι σταθερή: δημόσιο τελικό σημείο, διεπαφή πόρου, συνημμένη πολιτική cloud, διεύθυνση φιλοξενουμένου, ακροατής διεργασίας, τοπικοί κανόνες εισόδου. Κάθε στάδιο είτε περνά το πακέτο είτε τερματίζει την έρευνα, γι' αυτό η εκκίνηση από τον φιλοξενούμενο χάνει τον περισσότερο χρόνο.

Η προωθημένη κίνηση πελατών είναι ξεχωριστό στάδιο και εξετάζεται αφού αποκωδικοποιηθεί η σήραγγα. Το επίπεδο του cloud βλέπει μόνο την εξωτερική σήραγγα, οπότε μπορεί να εγκρίνει μια σύνδεση και παρόλα αυτά να μην έχει καμία σχέση με αίτημα εσωτερικής υπηρεσίας. Μια σήραγγα που συνδέεται αλλά δεν φτάνει σε εσωτερικό host συνήθως δείχνει προώθηση, όχι κλειστή θύρα.

Διαβάστε την πολιτική του cloud πριν αγγίξετε τον φιλοξενούμενο

Επιβεβαιώστε τον κανόνα εισόδου για τη θύρα VPN, το πρωτόκολλό του και το εύρος πηγής που ταιριάζει με τον πελάτη δοκιμής σας. Ελέγξτε και τη λίστα ελέγχου πρόσβασης του υποδικτύου: ένα δεύτερο φίλτρο με δικούς του κανόνες και προεπιλογές. Και τα δύο πρέπει να επιτρέπουν τη ροή πριν ένα πακέτο φτάσει στο στιγμιότυπο. Άδεια στο ένα και απόρριψη στο άλλο είναι η συνήθης μορφή αυτού του σφάλματος.

Στενέψτε το εύρος μέχρι να σημαίνει κάτι. Το άνοιγμα της θύρας VPN σε όλο το διαδίκτυο αποδεικνύεται εύκολα και υπερασπίζεται δύσκολα, ενώ ένας κανόνας καρφωμένος σε μία διεύθυνση σπάει όταν ο πελάτης δοκιμής σας αλλάξει δίκτυο. Σημειώστε το αναγνωριστικό του κανόνα και τον ιδιοκτήτη της πολιτικής, ώστε η επόμενη αλλαγή να ανάγεται σε πρόσωπο.

Επιβεβαιώστε τον ακροατή και μετά την αλυσίδα εισόδου

Στο στιγμιότυπο, ελέγξτε ότι η διεργασία VPN είναι δεσμευμένη στη διεύθυνση και τη θύρα που περιμένετε, για παράδειγμα με ss -lntp 'sport = :1194'. Ένας δαίμονας δεσμευμένος μόνο στο 127.0.0.1 δέχεται τοπικούς πελάτες και τίποτα μέσω της σήραγγας, κάτι που από έξω μοιάζει ακριβώς με φιλτραρισμένη θύρα.

Έπειτα διαβάστε τους τοπικούς κανόνες στη σύνταξη που θα χρησιμοποιούσατε για να τους αλλάξετε, όπως iptables -S INPUT ή nft list chain inet filter input. Ένας κανόνας γραμμένος σε αρχείο αλλά ποτέ φορτωμένος, ή μια προεπιλεγμένη απόρριψη χωρίς αντίστοιχη άδεια, πετά πακέτα σιωπηλά. Για πύλη προώθησης, ελέγξτε και τις ρυθμίσεις προώθησης και αντίστροφης διαδρομής. Αυτές αποφασίζουν τι γίνεται με πακέτα που δρομολογούνται μέσω του στιγμιότυπου και δεν απευθύνονται σε αυτό.

Με κατάσταση στο ένα επίπεδο, χωρίς κατάσταση στο επόμενο

Οι ομάδες ασφαλείας θυμούνται τις ροές που επέτρεψαν και αφήνουν τις απαντήσεις να επιστρέψουν. Οι λίστες ελέγχου πρόσβασης υποδικτύων και πολλά τείχη προστασίας του κεντρικού υπολογιστή δεν κρατούν τέτοια κατάσταση, οπότε ένας κανόνας που καλύπτει μόνο την εξερχόμενη κατεύθυνση περνά το αίτημα και πετά την απάντηση. Μη μεταφέρετε ποτέ μια παραδοχή για κίνηση επιστροφής ανάμεσα σε επίπεδα χωρίς να διαβάσετε τον κανόνα του δεύτερου επιπέδου (second layer's rule).

Οι μετρητές το λύνουν γρηγορότερα από το διάβασμα κάθε κανόνα στον λογαριασμό. Ένας μετρητής που ανεβαίνει σημαίνει ότι το πακέτο έφτασε και απορρίφθηκε εκεί, ενώ ένας παγωμένος στο μηδέν σημαίνει ότι δεν έφτασε ποτέ τόσο μακριά: iptables -vnL INPUT και nft list ruleset δείχνουν αυτές τις μετρήσεις όταν οι κανόνες φορτώθηκαν με μετρητές.

Δοκιμάστε με νέα συνεδρία, όχι με ζωντανή

Αφήστε το δίκτυο προέλευσης και το προφίλ δοκιμής ανέπαφα όσο συγκρίνετε όψεις, και ανοίξτε νέα σύνδεση μετά από κάθε αλλαγή. Η πρόσβαση στην κονσόλα ιστού στη θύρα 443 δεν λέει τίποτα για το αν ο δαίμονας VPN είναι δεσμευμένος στο 1194, οπότε δοκιμάστε τη θύρα που χρειάζεστε. Μια υπάρχουσα συνεδρία είναι ο χειρότερος μάρτυρας εδώ. Συνεχίζει να λειτουργεί ενώ κάθε νέα σύνδεση απορρίπτεται.

Πριν επεξεργαστείτε μια απομακρυσμένη πολιτική, εξασφαλίστε δρόμο επιστροφής που δεν εξαρτάται από τη διαδρομή που αλλάζετε. Έπειτα ανοίξτε δεύτερη συνεδρία διαχείρισης δίπλα στη δοκιμή VPN: μία που είχε καθιερωθεί νωρίτερα μπορεί να επιβιώσει από τον κανόνα που μπλοκάρει τις νέες. Καταγράψτε και τους δύο ιδιοκτήτες των πολιτικών ώστε καμία ανακατασκευή να μην επαναφέρει τη μισή διαδρομή· αν και τα δύο επίπεδα συμφωνούν και η σήραγγα εξακολουθεί να αποτυγχάνει, καταγράψτε στη διεπαφή του φιλοξενούμενου και ελέγξτε τη διεύθυνση και τη θύρα που χρησιμοποιεί πραγματικά ο πελάτης.