Πώς να περιορίσετε την πρόσβαση ανάμεσα σε δύο γραφεία συνδεδεμένα με VPN

Ένα τούνελ από τοποθεσία σε τοποθεσία απαντά σε μία ερώτηση, αν τα δύο γραφεία μπορούν να ανταλλάσσουν πακέτα, και αφήνει ανοιχτή την κρίσιμη: ποια συσκευή του υποκαταστήματος επιτρέπεται να φτάσει ποια κεντρική υπηρεσία. Η αντιμετώπιση του τούνελ ως αμοιβαίας εμπιστοσύνης είναι ο τρόπος με τον οποίο ένας φορητός υπολογιστής επισκέπτη καταλήγει στην ίδια διαδρομή με τον διακομιστή οικονομικών. Η λύση δεν είναι καλύτερο τούνελ, αλλά μια ρητή λίστα επιτρεπόμενων που επιβάλλεται μετά την αποκρυπτογράφηση. Αυτός ο οδηγός πηγαίνει αυτή τη λίστα από τον ορισμό σε μια αποδεδειγμένη άρνηση.

Εργαστείτε με αυτή τη σειρά και μην διευρύνετε τη διαδρομή του τούνελ μέχρι να περάσουν τα βήματα πολιτικής παρακάτω.

Γράψτε τον πίνακα πριν αγγίξετε την πύλη

Μια χρήσιμη γραμμή ονομάζει τρία πράγματα: μια ομάδα πηγής, έναν κεντρικό υπολογιστή ή δίκτυο υπηρεσίας προορισμού, και το πρωτόκολλο και τη θύρα που χρησιμοποιεί πραγματικά η εφαρμογή. Το υποκατάστημα και το κέντρο δεδομένων δεν είναι καταχωρίσεις. Ιδιωτικό DNS και υπηρεσίες ταυτοποίησης κερδίζουν δικές τους γραμμές μόνο όταν η εφαρμογή δεν μπορεί να δουλέψει χωρίς αυτές.

Ομαδοποιήστε τις πηγές κατά ρόλο και όχι κατά ευκολία υποδικτύου: προσωπικό, επισκέπτες, διαχείριση. Όταν και τα τρία μοιράζονται ένα επίπεδο LAN, η πύλη δεν μπορεί να τα ξεχωρίσει στο επίπεδο δικτύου, οπότε οι έλεγχοι ταυτότητας ή ο τεμαχισμός πρέπει να έρθουν πρώτοι. Μετά βάλτε τον πίνακα γραπτώς, με υπεύθυνο και ημερομηνία αναθεώρησης σε κάθε γραμμή.

Επιβάλετε εκεί όπου τα πακέτα αποκρυπτογραφούνται

Οι κανόνες που επιτρέπουν IKE και ESP χτίζουν μόνο το εξωτερικό τούνελ. Η εσωτερική κίνηση φτάνει σε καθαρή μορφή στη διεπαφή του τούνελ, και εκεί ανήκει η λίστα επιτρεπόμενων: μια αλυσίδα προώθησης στη συσκευή που αποκρυπτογραφεί, προεπιλεγμένη απόρριψη, ένας κανόνας ανά γραμμή του πίνακα. Στις πύλες Linux αυτό σημαίνει ενεργοποιημένη προώθηση και κανόνες φιλτραρίσματος στη συσκευή του τούνελ, όχι στη φυσική ζεύξη, όπως εξηγεί ο οδηγός προώθησης του strongSwan.

Οι επιλογείς κίνησης είναι απόφαση δρομολόγησης, όχι εξουσιοδότησης. Ένας ευρύς επιλογέας που καλύπτει και τα δύο υποδίκτυα μπορεί να είναι σωστός για τη δρομολόγηση, ενώ το τείχος προστασίας εξακολουθεί να επιτρέπει μόνο TCP 443 προς έναν κεντρικό υπολογιστή. Ο επιλογέας διαπραγματεύεται για το τούνελ και περιγράφει τι μπορεί να μπει σε αυτό, όχι τι μπορεί να χρησιμοποιήσει μια δεδομένη συσκευή. Μην διευρύνετε ποτέ έναν κανόνα τείχους προστασίας επειδή ο επιλογέας είναι ευρύς.

iptables -A FORWARD -i tun0 -s 10.20.0.0/24 -d 10.10.5.10 -p tcp --dport 443 -j ACCEPT
iptables -A FORWARD -i tun0 -j DROP

Το NAT και τα επικαλυπτόμενα υποδίκτυα αλλάζουν τους κανόνες

Όταν η πύλη του υποκαταστήματος μεταφράζει κάθε κεντρικό υπολογιστή σε μία διεύθυνση πριν από το τούνελ, κάθε γραμμή που βασίζεται στην πηγή καταρρέει σε αυτή τη μία διεύθυνση. Είτε σταματήστε να μεταφράζετε την κίνηση του τούνελ, είτε δεχτείτε ότι οι κανόνες πρέπει να στηρίζονται σε κάτι άλλο, όπως η αρχική διεύθυνση πηγής που καταγράφηκε πριν από τη μετάφραση. Το απομακρυσμένο άκρο έχει το ίδιο πρόβλημα, γιατί ο προορισμός βλέπει τη διεύθυνση μετά το NAT και όχι την αρχική.

Τα επικαλυπτόμενα εύρη είναι η άλλη παγίδα. Δύο γραφεία που χρησιμοποιούν και τα δύο 192.168.1.0/24 δεν μπορούν να περιγραφούν σε έναν πίνακα πολιτικής χωρίς αντιστοίχιση μιας πλευράς, και η αντιστοίχιση δεν αντικαθιστά διευθυνσιοδότηση που δεν συγκρούεται. Διορθώστε το σχέδιο πριν γράψετε κανόνες που θα πρέπει να ξετυλίξετε αργότερα.

Αποδείξτε μια άρνηση, όχι μόνο μια επιτυχία

Το να δοκιμάσετε μόνο την επιτρεπόμενη εφαρμογή αποδεικνύει ελάχιστα, γιατί ένας επιτρεπτικός κανόνας κάπου πιο πάνω δίνει το ίδιο αποτέλεσμα.

Από μια συνηθισμένη συσκευή του υποκαταστήματος, φτάστε στην προβλεπόμενη υπηρεσία και επιβεβαιώστε ότι όλη η συνεδρία λειτουργεί. Δοκιμάστε μετά έναν προορισμό που πρέπει να μείνει κλειστός, όπως μια διαχειριστική θύρα σε διακομιστή με τον οποίο το υποκατάστημα δεν έχει καμία δουλειά, και διαβάστε τον μετρητή ή την καταχώριση στο αρχείο καταγραφής που την απέρριψε. Το να απενεργοποιήσετε το σύνολο κανόνων για να δείτε αν δουλεύει ακυρώνει τη δοκιμή και αφήνει την πύλη ανοιχτή όσο κοιτάτε.

Κρατήστε τη λίστα ζωντανή

Οι εφαρμογές μετακινούνται, και ένας κανόνας που επιβιώνει της εφαρμογής του γίνεται μια τρύπα που δεν την έχει κανείς. Συνδέστε την ημερομηνία αναθεώρησης με τη γραμμή και αλλάξτε το εύρος του επιλογέα και τον κανόνα του τείχους προστασίας στο ίδιο βήμα συντήρησης όταν μια υπηρεσία αλλάζει διεύθυνση.

Οι περιορισμοί σε επίπεδο κεντρικού υπολογιστή μετράνε ακόμη πίσω από το τούνελ: το δικό του τείχος προστασίας του διακομιστή πρέπει να δέχεται το εύρος του υποκαταστήματος μόνο για την υπηρεσία που δημοσιεύει. Δύο επίπεδα που συμφωνούν είναι ευκολότερο να ελεγχθούν από ένα επίπεδο που εμπιστεύεται πλήρως.