Pärast dekrüptimist: milline poliitika näeb sinu VPN-liiklust esimesena

VPN-i voog võib olla täiuslikult krüpteeritud ja täiuslikult autenditud ning siiski jõuda kuhugi, mida keegi ei planeerinud. Kaabel, mille ühendad, ei määra, milline reegel sisemist paketti töötleb; seda teevad poliitika konks ja marsruut. Seetõttu võivad kaks rack-diagrammil ühesugusena näivat lahendust omada täiesti erinevat jõustamist. Valik nende vahel algab juhtimise nimetamisest, mis näeb dekrüpteeritud voogu esimesena.

Otsusta poliitika konksu, mitte pordi järgi

Iga VPN-platvorm hindab dekrüpteeritud liiklust mingis punktis enne selle edasisaatmist, ja sellel punktil on konfiguratsioonis nimi. Ühel platvormil on see grupipoliitika filter, teisel liidese poliitika või tsoonipaar, ja marsruuteril võib see olla lihtsalt forward-ahel. Konks jõustab reegli, samas kui kommutaatori port on vaid koht, kus kaabel lõpeb. Konksu leidmine on esimene otsus, sest kõik muu on paigutus selle suhtes.

Enne riistvara vaatamist kirjuta voog üles: kes on allikas, kuhu see läheb, milline protokoll seda kannab ja milline teenus on lubatud. Seejärel leia juhtimine, mis jõustab kõik need neli fakti.

Kaks teed, kaks erinevat jõustamislugu

Kaks vormi on tavalised ja kumbki võib olla õige erineva nõude jaoks.

endpoint -> shared inside subnet -> server
endpoint -> dedicated transit -> policy firewall -> server subnet

Esimene vorm suudab kõik vajaliku lüüsil jõustada, eeldusel et lüüsi poliitika on kirjutatud selle sihtmärgi jaoks ja serveril pole sellest mööda minevat teed. Teine vorm lisab piiri, kuid ainult siis, kui marsruudid ja poliitika panevad liikluse sellest tegelikult läbi minema. Server, mis asub lõpp-punktiga samas segmendis, ei pruugi kunagi kavandatud vahehüpet järgida. Diagramm näitab kavatsust ja marsruutimistabel näitab, mis juhtub.

Kontrolli marsruudi otsinguga, mitte joonisega. Liides, mille kaudu pakett väljub, ja valitud järgmine hüpe otsustavad, kas teine vorm käitub nii, nagu projekteeritud.

ip route get 10.30.7.20
sudo iptables -S FORWARD
sudo tcpdump -ni inside0 host 10.30.7.20

Eralda topoloogia isolatsioonist

Ühise alamvõrgu jagamine ei muuda kohta ebausaldusväärseks ja pühendatud transiit ei muuda seda kaitstuks. Otsustab tegelikult rakendatav piirang, tegelikult toimuv edasisaatmine ja see, kes iga osa haldab. Kommutaatorite loendamine ei ütle nende kolme kohta midagi. Otsusta poliitika ja marsruudi põhjal ning lase topoloogial otsust järgida.

Käsitle ka liikluspopulatsioone eraldi. Kaugjuurdepääsu poolid, saidi-saidi prefiksid ja eraliinide võrgud võivad jagada ühte seadet ja vajada siiski erinevaid reegleid, sest nende identiteet ja risk erinevad. Ühe populatsiooni jaoks kirjutatud reegel katab teised vaikselt, kui nad jagavad aadressiplaani.

Kontrolli iga paigutuse riket ja haldust

Igal paigutusel on rikkerežiim ja kasulik küsimus on, mis veel töötab, kui komponent peatub. Mitu loogilist liidest ühel surnud seadmel ei anna sõltumatut taastamist ja allavoolu tulemüür, mis jagab sama toidet või sama administraatorit, ei ole teine piir. Küsi, kuhu haldustee läheb, sest ainult tunnelist kättesaadav konsool ei ole üldse taastamistee; ssh [email protected] true väljastpoolt tunnelit on odavaim viis tõestada, et konsool ei sõltu sellest. Ühe platvormi grupipoliitika dokumentatsioon asetab oma filtri liiklusele pärast dekrüptimist ja enne krüptimist, mis on täpselt selline nimetatud konks, mida igas tootes otsida.

Kirjuta iga kandidaadi rikke lugu jõustamise loo kõrvale. Paigutus, mis võidab ülevaatusel ja kaotab taastamisel, on vahetus ja see tuleks nii kirja panna, mitte avastada intsidendi ajal.

Võta vastu lubatud ja keelatud vooga

Kinnitatud testplaaniga kontrolli tegelikust VPN-i allikast kolme asja: rakendus, mis peaks töötama, ressurss, mis ei peaks, ja suund, kust vastus tagasi tuleb. Keeldumine on tõend, et poliitika on rakendatud, samas kui lubatud voog tõestab vaid tee olemasolu.

Hoia valitud tee ja poliitika tulemus koos, sest tulemust ilma teeta ei saa korrata ja teed ilma tulemuseta ei saa kaitsta. See paar on liitumispunkti valimiseks palju kasulikum kui ükskõik milline väide, milline kommuteerimiskiht on olemuslikult turvalisem.