El tránsito cifrado no concede acceso al operador

Dos puertas de enlace aprobadas transportan el tráfico de una red de menor confianza a través de una red de transporte restringida. Cifrar la carga útil la mantiene ilegible para los observadores ordinarios del tránsito, y esa es la parte que la gente diseña primero y luego deja de pensar. Lo que el cifrado no hace es definir qué recursos puede alcanzar el lado de menor confianza. El diseño necesita dos fronteras: una en torno a la conversación transportada y otra en torno al acceso al propio operador.

Ejecute los pasos siguientes en orden y trate cualquier fallo en cualquier paso como un cambio de diseño, no como un ajuste de configuración.

Defina ambas fronteras antes de tocar una configuración

La primera frontera es la conversación: qué pares de puertas de enlace pueden establecer un túnel y qué tráfico interno se permite a través de él. La segunda es el operador: qué direcciones y servicios pueden alcanzar los hosts de menor confianza fuera del túnel. Los equipos suelen construir la primera y heredar la segunda de cualquier enrutamiento que ya existiera, y así un diseño restringido se convierte en silencio en uno amplio. Esa herencia es la causa raíz habitual cuando una revisión encuentra un host de menor confianza hablando con algo que nadie aprobó.

Escriba ambas como listas de direcciones, puertos y sentidos. Si una lista no se puede escribir, la frontera aún no está definida.

Paso 1: restrinja el túnel exterior

En la interfaz orientada al operador, permita solo lo que el túnel necesita: IKE en UDP 500 y 4500 entre las dos direcciones de puerta de enlace, y ESP donde no se utilice atravesamiento NAT. Deniegue todo lo demás que llegue a esa interfaz, incluidos los protocolos de gestión. La especificación ESP cubre los servicios de protección; no dice nada sobre qué servicios propios del operador pueden usar las puertas de enlace. Expréselo como una lista de permisos explícita, para que un servicio del operador publicado recientemente no se vuelva accesible por defecto.

Ese es el conjunto de reglas que hace que el diseño sea un diseño de tránsito y no un acuerdo de emparejamiento.

Compruébelo desde el lado de menor confianza, no desde la consola de la puerta de enlace. Un host de allí debería fallar al alcanzar un servidor DNS del operador incluso antes de que el túnel esté levantado.

Paso 2: decida qué entrega la puerta de enlace remota

En el extremo remoto, el tráfico recuperado tiene que ir a algún lugar concreto. Defina qué servicios internos se permiten, desde qué rangos de origen y si se espera que las respuestas sean simétricas. Revise el acceso de gestión por separado, porque la misma puerta de enlace suele exponer una interfaz administrativa que nunca formó parte del plan de tránsito.

Un diagrama que se detiene en el descifrado correcto se ha saltado la decisión que más importa.

Paso 3: mantenga la propiedad por capa

El equipo de tránsito sigue recibiendo y reenviando paquetes exteriores, así que necesita parches y planificación de capacidad. Los extremos del túnel procesan el protocolo protegido y exponen el tráfico interno a su ruta de reenvío, así que necesitan sus propias reglas y su propia supervisión. Las aplicaciones finales procesan la carga útil, y una carga opaca no es prueba de que una descarga descifrada sea inofensiva.

Asigne un propietario a cada capa. Las capas sin propietario son las que se desvían.

Paso 4: verifique y luego entréguelo a la autoridad

Verifique la ruta exterior con el túnel levantado y las reglas del operador en su sitio. Luego pruebe cada recurso al que el lado de menor confianza no debería llegar y confirme que el fallo es una denegación y no un tiempo de espera que oculta una ruta. Compruebe también la disponibilidad y los límites de recursos, porque un enlace cifrado también puede saturarse.

Para entornos regulados o clasificados, lleve el diseño a la autoridad de seguridad responsable y utilice su arquitectura de separación aprobada. Una configuración de VPN y una explicación conceptual no establecen acreditación. Ese paso no es papeleo; decide si se permite que el diseño exista.