Δώστε στους χρήστες VPN πρόσβαση σε μία υπηρεσία, όχι στο υποδίκτυο

Ένας εργολάβος χρειάζεται μία εσωτερική διαδικτυακή εφαρμογή και τίποτε άλλο, και η εύκολη απάντηση είναι να του δώσετε μια σήραγγα προς το υποδίκτυο του διακομιστή. Αυτό λειτουργεί μέχρι την ημέρα που θα το σαρώσει. Ο στενότερος σχεδιασμός απαιτεί περισσότερη σκέψη, επειδή η προσβασιμότητα, η δρομολόγηση και η άδεια εφαρμογής είναι τρεις ξεχωριστοί έλεγχοι που πρέπει να συμφωνούν.

Γράψτε την απαίτηση ως υπηρεσία, όχι ως υποδίκτυο

Ξεκινήστε από τον κεντρικό υπολογιστή προορισμού, το πρωτόκολλο και τη θύρα, και μετά προσθέστε την ομάδα χρηστών ή συσκευών που πρέπει να φτάσει σε αυτόν. Συμπεριλάβετε τη ζώνη DNS ιδιωτικού δικτύου μόνο αν η εφαρμογή επιλύει όνομα, και συμπεριλάβετε πάροχο ταυτότητας μόνο αν η ροή σύνδεσης τον χρειάζεται. Όλα τα άλλα είναι εξάρτηση που δεν έχετε ακόμη αιτιολογήσει.

Το υποδίκτυο είναι λεπτομέρεια υλοποίησης της ομάδας δικτύου, ενώ η υπηρεσία είναι αυτό που ζήτησε η επιχείρηση και η μονάδα που μπορεί να ελεγχθεί και να αποσυρθεί.

Αν η λίστα εξαρτήσεων ξεπεράσει τρία στοιχεία, η εφαρμογή πιθανώς χρειάζεται τη δική της συζήτηση σχεδιασμού.

Δρομολογήστε στενά, αλλά επιβάλετε αλλού

Μια στενή διαδρομή ή επιλογέας λέει στη σήραγγα ποια πακέτα να μεταφέρει· δεν είναι πολιτική εξουσιοδότησης. Το φίλτρο της πύλης, το τείχος προστασίας του κεντρικού υπολογιστή προορισμού και το μοντέλο αδειών της ίδιας της εφαρμογής είναι εκεί όπου αποφασίζεται η πρόσβαση. Μια διαδρομή που καλύπτει μία διεύθυνση είναι καλή αρχή, και δεν είναι ο έλεγχος που σταματά έναν αποφασισμένο χρήστη. Αυτός ο διαχωρισμός σας επιτρέπει να αλλάξετε το φίλτρο χωρίς να σχεδιάσετε ξανά τη σήραγγα.

Αντίστροφα, μια ευρεία διαδρομή με αυστηρό φίλτρο μπορεί να είναι νόμιμη, αλλά μόνο αν όλοι οι εμπλεκόμενοι γνωρίζουν ποια από τις δύο κάνει την επιβολή.

Τεκμηριώστε ρητά το σημείο επιβολής, αλλιώς η επόμενη αλλαγή θα το μετακινήσει κατά λάθος.

Ελέγξτε την πηγή που βλέπει πραγματικά η υπηρεσία

Ο προορισμός βλέπει είτε τη διεύθυνση από τη δεξαμενή του πελάτη είτε τη διεύθυνση της πύλης, ανάλογα με το αν μεταφράζετε. Οι κανόνες του τείχους προστασίας του κεντρικού υπολογιστή και τα αρχεία καταγραφής πρέπει να ταιριάζουν με την πραγματική πηγή. Αν πολλοί χρήστες μοιράζονται μια μεταφρασμένη πηγή, κανένας κανόνας ανά χρήστη σε αυτόν τον κεντρικό υπολογιστή δεν μπορεί να τους διακρίνει, και αυτό είναι περιορισμός σχεδιασμού, όχι σφάλμα.

Επιλέξτε τη μετάφραση συνειδητά: απλοποιεί τη δρομολόγηση και καταστρέφει την ταυτότητα της πηγής, κάτι που μετρά για τον έλεγχο και για τους κανόνες ανά χρήστη.

Γράψτε ποια από τις δύο επιλέξατε, δίπλα στον κανόνα που εξαρτάται από αυτήν.

Η εξουσιοδότηση της εφαρμογής δεν είναι προαιρετική

Το να φτάσετε σε μια θύρα δεν παραχωρεί ρόλο. Η εφαρμογή χρειάζεται ακόμη τη δική της σύνδεση και τις δικές της άδειες, επειδή το επίπεδο δικτύου δεν μπορεί να εκφράσει ποιες εγγραφές επιτρέπεται να επεξεργαστεί ένας χρήστης. Μια υπηρεσία που εμπιστεύεται κάθε αίτημα από το εσωτερικό υποδίκτυο μετατρέπει μια στενή σήραγγα σε πλήρη πρόσβαση για ένα διαπιστευτήριο που έχει παραβιαστεί. Η σήραγγα αποφασίζει ποιος επιτρέπεται να ανοίξει τον υποδοχέα, και η εφαρμογή αποφασίζει τι επιτρέπεται να κάνει με αυτόν.

Εδώ ο στενός σχεδιασμός αποδίδει διπλά, επειδή λιγότεροι προσβάσιμοι κεντρικοί υπολογιστές σημαίνουν λιγότερα σημεία όπου μπορεί να αξιοποιηθεί ένα λάθος σε επίπεδο εφαρμογής.

Κρατήστε τον κανόνα δικτύου και τον ρόλο εφαρμογής σε ξεχωριστά συστήματα και αποσύρετέ τα ξεχωριστά.

Αποδείξτε και την επιτρεπόμενη και την απορριφθείσα διαδρομή

Συνδεθείτε ως εξουσιοδοτημένος χρήστης και εκτελέστε μία ακίνδυνη αντιπροσωπευτική λειτουργία, και μετά δοκιμάστε έναν προορισμό που θα έπρεπε να είναι απρόσιτος. Ένας σχεδιασμός που δοκιμάζει μόνο το πρώτο μισό δεν έχει δοκιμαστεί, και η δοκιμή απόρριψης είναι αυτή που αποδεικνύει τον σχεδιασμό. Δοκιμάστε νέα συνεδρία μετά από κάθε αλλαγή κανόνα, και κοιτάξτε τη διαδρομή επιστροφής αν φτάνουν αιτήματα αλλά όχι απαντήσεις.

Μην απενεργοποιείτε τα φίλτρα προώθησης για να περάσει η δοκιμή αποδοχής, επειδή αυτό αλλάζει το πράγμα που δοκιμάζεται.

Όταν ο χρήστης δεν χρειάζεται πλέον την υπηρεσία, αποσύρετε την απομακρυσμένη ταυτότητα και τον ρόλο εφαρμογής στα αντίστοιχα συστήματά τους και καταγράψτε και τα δύο. Ο οδηγός προώθησης του strongSwan καλύπτει την πλευρά της πύλης στη διαδρομή.