Post malkriptado: kiu politiko unue vidas vian VPN-trafikon

VPN-fluo povas esti perfekte ĉifrita kaj perfekte aŭtentikigita kaj tamen fini tie, kie neniu planis. La kablo, kiun vi enŝovas, ne determinas, kiu regulo traktas la internan paketon; tion faras la politika hoko kaj la vojo. Sekve du dezajnoj, kiuj aspektas identaj sur raka diagramo, povas havi tute malsaman plenumon. Elekti inter ili komenciĝas per nomi la regadon, kiu vidas la malkriptitan fluon unue.

Decidu laŭ la politika hoko, ne laŭ la pordo

Ĉiu VPN-platformo pritaksas malkriptitan trafikon en iu punkto antaŭ ol plusendi ĝin, kaj tiu punkto havas nomon en la agordo. Sur unu platformo ĝi estas filtrilo de grupa politiko, sur alia politiko de interfaco aŭ paro de zonoj, kaj sur enkursigilo ĝi povas esti simple la ĉeno forward. La hoko plenumas la regulon, dum la ŝaltila pordo estas nur la loko, kie la kablo finiĝas. Trovi la hokon estas la unua decido, ĉar ĉio alia estas lokado rilate al ĝi.

Antaŭ ol rigardi aparataron, skribu la fluon: kiu estas la fonto, kien ĝi iras, kiu protokolo portas ĝin kaj kiu servo estas permesita. Poste trovu la regadon, kiu plenumas ĉiun el tiuj kvar faktoj.

Du vojoj, du malsamaj rakontoj pri plenumo

Du formoj oftas, kaj ĉiu povas esti ĝusta por malsama postulo.

endpoint -> shared inside subnet -> server
endpoint -> dedicated transit -> policy firewall -> server subnet

La unua formo povas plenumi ĉion necesan ĉe la kluzo, kondiĉe ke la kluzo-politiko estas skribita por tiu celo kaj la servilo havas neniun vojon ĉirkaŭ ĝi. La dua formo aldonas limon, sed nur se la vojoj kaj la politiko efektive igas la trafikon trapasi ĝin. Servilo sur la sama segmento kiel la finpunkto eble neniam sekvos la imagitan mezan salteton. La diagramo montras intencon, kaj la enkursiga tabelo montras, kio okazas.

Kontrolu per voja serĉo anstataŭ per la desegnaĵo. La interfaco, per kiu paketo eliras, kaj la sekva salteto, kiun ĝi elektas, decidas ĉu la dua formo kondutas kiel projektite.

ip route get 10.30.7.20
sudo iptables -S FORWARD
sudo tcpdump -ni inside0 host 10.30.7.20

Apartigu topologion disde izolado

Kunhavigi subreton ne faras lokon nefidinda, kaj dediĉita transito ne faras ĝin protektita. Decidas la efektive aplikata limigo, la efektive okazanta plusendado kaj tio, kiu administras ĉiun parton. Nombri ŝaltilojn diras nenion pri iu el la tri. Decidu el la politiko kaj la vojo, kaj lasu la topologion sekvi la decidon.

Traktu ankaŭ trafikajn populaciojn aparte. Foraj alirpuloj, prefiksoj de loko al loko kaj retoj de privataj linioj povas kunhavigi unu aparaton kaj tamen bezoni malsamajn regulojn, ĉar ilia identeco kaj ilia risko diferencas. Regulo skribita por unu populacio silente kovras la aliajn, kiam ili kunhavigas adresplanon.

Kontrolu fiaskon kaj administradon por ĉiu lokado

Ĉiu lokado havas fiaskmanieron, kaj la utila demando estas, kio ankoraŭ funkcias, kiam komponento haltas. Pluraj logikaj interfacoj sur unu morta aparato ne donas al vi sendependan restarigon, kaj suba fajroŝirmilo kun la sama nutrado aŭ la sama administranto ne estas dua limo. Demandu, kie la administra vojo iras, ĉar konzolo atingebla nur tra la tunelo tute ne estas restariga vojo; ssh [email protected] true de ekstere la tunelo estas la plej malmultekosta maniero pruvi, ke la konzolo ne dependas de ĝi. La dokumentaro pri grupa politiko de unu platformo metas sian filtrilon sur trafikon post malkriptado kaj antaŭ ĉifrado, kio estas ĝuste tia nomata hoko, kiun oni serĉu en ajna produkto.

Skribu la fiaskan rakonton de ĉiu kandidato apud la plenuma rakonto. Lokado, kiu venkas en inspektado kaj malvenkas en restarigo, estas interŝanĝo, kaj ĝi estu registrita kiel tia anstataŭ esti malkovrita dum incidento.

Akceptu per permesita kaj malpermesita fluo

Kun aprobita testplano, kontrolu tri aferojn el la reala VPN-fonto: aplikaĵon, kiu devus funkcii, rimedon, kiu ne devus, kaj la direkton, laŭ kiu la respondo revenas. La rifuzo estas la pruvo, ke la politiko estas aktiva, dum la permesita fluo nur pruvas, ke vojo ekzistas.

Konservu la elektitan vojon kaj la politikan rezulton kune, ĉar rezulto sen vojo ne estas reproduktebla kaj vojo sen rezulto ne estas defendebla. Tiu paro estas multe pli utila por elekti alkroĉpunkton ol iu ajn aserto pri tio, kiu ŝaltada tavolo estas esence pli sekura.