Desegnu la malĉifritan vojon: kie VPN-aparato plenumas politikon

Diagramoj de vendistoj kutime haltas ĉe la ĉifrita aŭskultanto, ĉar tiu estas la parto kun publika adreso. La demando, kiu decidas la sekurecan pozicion, estas, kio okazas post malĉifrado, kiam la paketo fariĝas ordinara IP kaj povas atingi ĉion, kion la enkursiga tabelo permesas. Se neniu desegnis tiun kruron, neniu posedas ĝin. La runlibro sube desegnas ĝin unue kaj poste komparas lokigojn laŭ tio, kion la malĉifrita peto efektive trapasas.

Desegnu la paketon post malĉifrado, ne antaŭe

La ekstera vojo estas la parto, kiun vendistoj dokumentas: publika finpunkto, transporta politiko, kiu akceptas la konekton, kaj servo, kiu finigas ĝin. La interna vojo komenciĝas en la momento, kiam la paketo perdas sian tunelan kaperon, kaj de tie regas ĝin enkursigaj kaj filtradaj reguloj, kiuj neniel rilatas al la tunelo. Metu ambaŭ sur la saman paĝon, ĉar diagramo kun nur la unua supozigas, ke akcepto kaj rajtigo estas unu decido. Ili ne estas, kaj nome la breĉo inter ili estas, kie plej multaj lokigoj eraras.

Skribu la internan kruron kiel numeritan sinsekvon kun nomitaj aparatspecoj anstataŭ kiel sagon. Sago kaŝas, ĉu la peto trapasas filtron, kaj trapasi aŭ ne estas la tuta demando. Ĉiu paŝo sube nomas la aparaton kaj la regulserion, kiu agas tie, tiel ke mankanta filtro aperas kiel breĉo anstataŭ esti supozigita de linio.

1. Fora kliento: la uzantaparato, kiu originas la tunelon.
2. Randa politiko: la regulserio, kiu akceptas la eksteran transporton al la publika aŭskultanto.
3. Finiga aparato: la VPN-finpunkto, kiu malenkapas kaj transdonas la paketon al ordinara IP.
4. Interna filtro: la regulserio por plusendado aŭ sekurecaj grupoj, kiu limigas trafikon de kliento al servo.
5. Aplikada gasto: la servo, kiu ricevas la malĉifritan peton.

Du politikoj, du posedantoj

La ekstera politiko respondas, kiu rajtas starigi tunelon, kaj ĝi esprimiĝas en la reguloj, kiuj akceptas la transporton al la finiga servo. La interna politiko respondas, al kiu servo aŭtentikigita uzanto rajtas atingi, kaj ĝi vivas en plusendaj reguloj, sekurecaj grupoj aŭ en la aplikaĵo mem. Unu aparato povas gastigi ambaŭ, kaj dezajno kun pluraj aparatoj ankoraŭ havas ambaŭ. La aparta nomado estas tio, kio ebligas al vi diri, kiu malsukcesis, kiam uzanto ne povas atingi aplikaĵon.

Akceptaj regiloj kiel atestiloj kaj pluraj-faktora aŭtentigo respondas pri identeco kaj nenio alia. Ili ne decidas la lokigon kaj ne donas permeson por unuopaj rimedoj post kiam uzanto estas interne.

La lokigo decidas, kiun limon la peto trapasas

Tri lokigoj oftas, kaj ĉiu ŝanĝas, kiun limon la malĉifrita peto trapasas. Komparu ilin laŭ tio, kio finiĝas tie, kio povas vidi klartekston, kiu regilo ankoraŭ povas rifuzi la peton, kaj kio paneas kune kun la aparato. La tabelo sube uzas tiujn kvar kolumnojn anstataŭ ĝenerala demando, ĉar ĉiu respondo estas aparta dezajn-decido.

La tria lokigo estas tiu, kiu silente forigas plenumadon, ĉar kruro sur la protektita segmento donas al la aparato rektan vojon, kiun la diagramo eble ne montras. Inspektu la interfacojn kaj la vojojn anstataŭ la bildon: ip route get 10.20.5.10 raportas, per kiu interfaco la paketo forirus, kaj la respondo ofte ne estas tiu, kiun la dezajno supozis. La klasika fajroŝirma rolo kontroli trafikon inter sintenoj, kiel priskribite enNIST SP 800-41, estas utila testo ĉi tie, ĉar aparato kun senlima kruro al la protektita reto ne multe kontrolas. Enkursiga serĉo estas pli honesta diagramo ol tiu en la prezento.

Administrado apartenas al sia propra eksplicite permesita vojo. Permesi al uzantoj atingi aplikaĵon neniam postulas permesi al ili atingi la regadinterfacon de la aparato, kaj la du permesoj estu donataj de malsamaj reguloj. Aŭditu ambaŭ vojojn aparte, ĉar komuna regulo kaŝas, kiu estis malfermita.

Traduko ŝanĝas, kion subaj reguloj povas vidi

Fonta traduko estas oportuna kaj ĝi detruas informon. Post maŝkado ĉiu kliento aspektas kiel la aparato, do suba regulo skribita por distingi uzantojn ne plu povas tion fari. Tio ne estas nur protokola problemo, ĝi estas politika problemo: regulo ŝlosita per klienta adreso silente fariĝas regulo ŝlosita per la enirejo. Se politiko por unuopa uzanto gravas, konservu la fonton aŭ plenumu la politikon antaŭ traduko.

La responda vojo meritas la saman atenton. Notu, kiun vojon la celo elektas por la revena paketo, ĉar nesimetria reveno preterpasas statan inspektadon kaj produktas konekton, kiu establiĝas kaj poste haltas. Ambaŭ direktoj devas trapasi la limon, kiun vi desegnis, alie la limo estas ornamaĵo.

sudo tcpdump -ni inside0 host 10.20.5.10
ip route get 10.20.5.10
sudo iptables -t nat -S POSTROUTING

Akceptu permesitan kaj malpermesitan operacion

Testu de la reala fora kliento anstataŭ de administra gasto, ĉar la administra gasto kutime sidas ie, kie la uzanto neniam estos. Unu permesita operacio pruvas, ke la vojo funkcias, kaj unu malpermesita pruvas, ke la politiko entute ion faras. Rulu ambaŭ post ĉiu lokiga ŝanĝo kaj notu la fontan identecon kaj celon, kiujn vi uzis. Testo, kiu pruvas nur sukceson, ne povas distingi korektan regulon de mankanta.

Poste testu la kazojn, kiuj ŝanĝas staton: rekonekto, seanco, kiu postvivas ŝlosilan rotacion, kaj paneo de la aparato mem. Komparu ĝisdatigojn, kapaciton kaj reakiron kiel parto de la sama aranĝo, ĉar unu aparato tenanta plurajn logikajn regilojn estas unu paneja domajno kun pluraj etikedoj. Ankaŭ dua skatolo ne estas sendependa, kiam komuna administra akreditaĵo aŭ senlima vojo venkas la limon, kiun ĝi devis krei.

Dokumentu la finpunkton, la malĉifritan vojon kaj la regilon, kiu limigas ĝin. Tiuj tri linioj restas signifoplenaj, kiel ajn la efektivigo nomiĝas.