Η κρυπτογραφημένη διέλευση δεν παρέχει πρόσβαση στον φορέα

Δύο εγκεκριμένες πύλες μεταφέρουν την κίνηση ενός δικτύου χαμηλότερης εμπιστοσύνης μέσα από ένα περιορισμένο δίκτυο μεταφοράς. Η κρυπτογράφηση του φορτίου το κρατά μη αναγνώσιμο για τους συνηθισμένους παρατηρητές της διέλευσης, και αυτό είναι το μέρος που οι άνθρωποι σχεδιάζουν πρώτο και μετά σταματούν να το σκέφτονται. Αυτό που η κρυπτογράφηση δεν κάνει είναι να καθορίζει ποιους πόρους επιτρέπεται να προσεγγίσει η πλευρά χαμηλότερης εμπιστοσύνης. Ο σχεδιασμός χρειάζεται δύο σύνορα: ένα γύρω από τη μεταφερόμενη συνομιλία και ένα γύρω από την πρόσβαση στον ίδιο τον φορέα.

Εκτελέστε τα παρακάτω βήματα με τη σειρά και αντιμετωπίστε οποιαδήποτε αποτυχία σε οποιοδήποτε βήμα ως αλλαγή σχεδιασμού και όχι ως προσαρμογή ρύθμισης.

Καθορίστε και τα δύο σύνορα πριν αγγίξετε μια ρύθμιση

Το πρώτο σύνορο είναι η συνομιλία: ποια ζεύγη πυλών επιτρέπεται να στήσουν σήραγγα και ποια εσωτερική κίνηση περνά από μέσα της. Το δεύτερο είναι ο φορέας: ποιες διευθύνσεις και υπηρεσίες μπορούν να προσεγγίσουν οι υπολογιστές χαμηλότερης εμπιστοσύνης έξω από τη σήραγγα. Οι ομάδες συνήθως χτίζουν το πρώτο και κληρονομούν το δεύτερο από όποια δρομολόγηση υπήρχε ήδη, και έτσι ένας περιορισμένος σχεδιασμός γίνεται ήσυχα ευρύς. Αυτή η κληρονομιά είναι η συνήθης βασική αιτία όταν μια αναθεώρηση βρίσκει έναν υπολογιστή χαμηλότερης εμπιστοσύνης να μιλά με κάτι που κανείς δεν ενέκρινε.

Γράψτε και τα δύο ως λίστες διευθύνσεων, θυρών και κατευθύνσεων. Αν μια λίστα δεν μπορεί να γραφτεί, το σύνορο δεν έχει οριστεί ακόμη.

Βήμα 1: περιορίστε την εξωτερική σήραγγα

Στη διεπαφή που κοιτά προς τον φορέα, επιτρέψτε μόνο ό,τι χρειάζεται η σήραγγα: IKE στο UDP 500 και 4500 μεταξύ των δύο διευθύνσεων πύλης, και ESP όπου δεν χρησιμοποιείται διέλευση NAT. Απορρίψτε καθετί άλλο που φτάνει σε αυτή τη διεπαφή, συμπεριλαμβανομένων των πρωτοκόλλων διαχείρισης. Η προδιαγραφή ESP καλύπτει τις υπηρεσίες προστασίας· δεν λέει τίποτα για το ποιες από τις δικές του υπηρεσίες του φορέα επιτρέπεται να χρησιμοποιούν οι πύλες. Εκφράστε το ως ρητή λίστα επιτρεπόμενων, ώστε μια νεοδημοσιευμένη υπηρεσία του φορέα να μην γίνεται προσβάσιμη εξ ορισμού.

Αυτό είναι το σύνολο κανόνων που κάνει τον σχεδιασμό σχεδιασμό διέλευσης και όχι συμφωνία peering.

Ελέγξτε το από την πλευρά χαμηλότερης εμπιστοσύνης, όχι από την κονσόλα της πύλης. Ένας υπολογιστής εκεί θα πρέπει να αποτυγχάνει να φτάσει σε διακομιστή DNS του φορέα ακόμη και πριν στηθεί η σήραγγα.

Βήμα 2: αποφασίστε τι παραδίδει η απομακρυσμένη πύλη

Στο απομακρυσμένο άκρο, η ανακτημένη κίνηση πρέπει να πάει κάπου συγκεκριμένα. Καθορίστε ποιες εσωτερικές υπηρεσίες επιτρέπονται, από ποιες περιοχές προέλευσης και αν αναμένονται συμμετρικές απαντήσεις. Εξετάστε την πρόσβαση διαχείρισης ξεχωριστά, γιατί η ίδια πύλη συχνά εκθέτει μια διοικητική διεπαφή που δεν ήταν ποτέ μέρος του σχεδίου διέλευσης.

Ένα διάγραμμα που σταματά στην επιτυχή αποκρυπτογράφηση έχει παραλείψει την απόφαση που μετράει περισσότερο.

Βήμα 3: κρατήστε την ιδιοκτησία ανά επίπεδο

Ο εξοπλισμός διέλευσης εξακολουθεί να λαμβάνει και να προωθεί εξωτερικά πακέτα, άρα χρειάζεται ενημερώσεις και σχεδιασμό χωρητικότητας. Τα άκρα της σήραγγας επεξεργάζονται το προστατευμένο πρωτόκολλο και εκθέτουν την εσωτερική κίνηση στη διαδρομή προώθησής τους, άρα χρειάζονται δικούς τους κανόνες και δική τους παρακολούθηση. Οι τελικές εφαρμογές επεξεργάζονται το φορτίο, και ένα αδιαφανές φορτίο δεν είναι απόδειξη ότι μια αποκρυπτογραφημένη λήψη είναι ακίνδυνη.

Αναθέστε έναν ιδιοκτήτη σε κάθε επίπεδο. Τα επίπεδα χωρίς ιδιοκτήτη είναι αυτά που ξεφεύγουν.

Βήμα 4: επαληθεύστε και μετά παραδώστε το στην αρχή

Επαληθεύστε την εξωτερική διαδρομή με τη σήραγγα ενεργή και τους κανόνες του φορέα στη θέση τους. Στη συνέχεια δοκιμάστε κάθε πόρο που η πλευρά χαμηλότερης εμπιστοσύνης δεν θα έπρεπε να φτάνει και επιβεβαιώστε ότι η αποτυχία είναι άρνηση και όχι λήξη χρόνου που κρύβει μια διαδρομή. Ελέγξτε επίσης διαθεσιμότητα και όρια πόρων, γιατί ακόμη και ένα κρυπτογραφημένο κανάλι μπορεί να κορεστεί.

Για ρυθμιζόμενα ή διαβαθμισμένα περιβάλλοντα, πηγαίνετε τον σχεδιασμό στην αρμόδια αρχή ασφαλείας και χρησιμοποιήστε την εγκεκριμένη αρχιτεκτονική διαχωρισμού της. Μια ρύθμιση VPN και μια εννοιολογική εξήγηση δεν θεμελιώνουν διαπίστευση. Αυτό το βήμα δεν είναι χαρτοδουλειά· αποφασίζει αν ο σχεδιασμός επιτρέπεται να υπάρχει καθόλου.