Joonista dekrüpteeritud teekond: kus VPN-seade poliitikat rakendab
Diagramm, mis lõpeb krüpteeritud kuulajas, ei näita poliitikat, mis loeb. Joonista dekrüpteeritud teekond ja võrdle paigutusi selle järgi, mida päring läbib.
Tarnijate diagrammid lõpevad tavaliselt krüpteeritud kuulajas, sest see on osa, millel on avalik aadress. Turvapositsiooni määrab küsimus, mis juhtub pärast dekrüpteerimist, kui pakett muutub tavaliseks IP-ks ja võib jõuda kõigeni, mida marsruutimistabel lubab. Kui keegi seda lüli ei joonistanud, ei vastuta selle eest keegi. Allolev runbook joonistab selle kõigepealt ja võrdleb seejärel paigutusi selle järgi, mida dekrüpteeritud päring tegelikult läbib.
Joonista pakett pärast dekrüpteerimist, mitte enne
Väline tee on osa, mida tarnijad dokumenteerivad: avalik lõpp-punkt, transportpoliitika, mis ühenduse vastu võtab, ja teenus, mis selle lõpetab. Sisemine tee algab hetkest, mil pakett kaotab tunnelipäise, ja sealt edasi juhivad seda marsruutimis- ja filtreerimisreeglid, millel pole tunneliga mingit seost. Pane mõlemad samale lehele, sest ainult esimest näitav diagramm vihjab, et vastuvõtmine ja autoriseerimine on üks otsus. Need ei ole, ja just nendevahelises lõhes läheb enamik paigutusi valesti.
Kirjuta sisemine lüli nummerdatud järjestusena nimeliselt määratud seadmetüüpidega, mitte noolena. Nool varjab, kas päring läbib filtri, ja läbimine või mitteläbimine ongi kogu küsimus. Iga allolev hüpe nimetab seadme ja seal toimiva reeglistiku, nii et puuduv filter ilmub lüngana, mitte joonega vihjatud asjana.
- Kaugklient: kasutaja seade, mis tunneli loob.
- Servapoliitika: reeglistik, mis võtab välise transporti avalikku kuulajasse vastu.
- Lõpetav seade: VPN-i lõpp-punkt, mis dekapsuleerib ja annab paketi tavalisele IP-le üle.
- Sisemine filter: edastus- või turvagrupi reeglistik, mis piirab kliendilt teenusele suunatud liiklust.
- Rakenduse host: teenus, mis võtab dekrüpteeritud päringu vastu.
Kaks poliitikat, kaks omanikku
Väline poliitika vastab, kes tohib tunneli luua, ja seda väljendavad reeglid, mis võtavad transporti lõpetava teenuseni vastu. Sisemine poliitika vastab, millisele teenusele autenditud kasutaja tohib jõuda, ja see elab edastusreeglites, turvagruppides või rakenduses endas. Üks seade võib majutada mõlemat, ja mitme seadmega lahendusel on ikka mõlemad. Just eraldi nimetamine võimaldab öelda, milline neist ebaõnnestus, kui kasutaja rakenduseni ei jõua.
Vastuvõtukontrollid nagu sertifikaadid ja mitmefaktoriline autentimine vastavad identiteedi kohta ega millegi muu kohta. Need ei otsusta paigutust ega anna luba üksiku ressursi kohta, kui kasutaja on juba sees.
Paigutus otsustab, millist piiri päring läbib
Kolm paigutust on tavalised ja igaüks muudab, millist piiri dekrüpteeritud päring läbib. Võrdle neid selle järgi, mis seal lõpeb, mis näeb selget teksti, milline kontroll saab päringu ikka tagasi lükata ja mis läheb seadmega koos rikki. Allolev tabel kasutab üldise küsimuse asemel neid nelja veergu, sest iga vastus on eraldi kujundusotsus.
| Placement | What terminates there | What sees plaintext | Which control can still deny | Failure domain |
|---|---|---|---|---|
| Termination in a dedicated segment | A dedicated VPN endpoint | The endpoint and anything on its segment | The filter between that segment and the application | The segment path can bypass the filter if no rule sits on it |
| Termination on the edge firewall | The firewall's public listener | The firewall, after decapsulation | The firewall's inner rule set | Admission and inspection fail together |
| Termination on the protected LAN | The appliance's LAN leg | Every host on the protected LAN | Only a host control or a downstream gateway | The appliance and the protected hosts fail together |
Kolmas paigutus on see, mis rakendamise vaikselt kaotab, sest lüli kaitstud segmendil annab seadmele otsetee, mida diagramm ei pruugi näidata. Uuri liideseid ja marsruute, mitte pilti: ip route get 10.20.5.10 teatab, millise liidese kaudu pakett väljuks, ja vastus pole sageli see, mida kujundus eeldas. Tulemüüri klassikaline roll juhtida liiklust seisundite vahel, nagu kirjeldatud dokumendisNIST SP 800-41, on siin kasulik test, sest seade, millel on piiramatu lüli kaitstud võrku, ei juhi eriti palju. Marsruudi otsing on ausam diagramm kui see, mis on esitluses.
Haldus kuulub omaette selgesõnaliselt lubatud teele. Kasutajatele rakenduseni jõudmise lubamine ei nõua kunagi seadme juhtliideseni jõudmise lubamist ja need kaks luba tuleks anda eri reeglitega. Auditeeri mõlemat teed eraldi, sest jagatud reegel varjab, milline neist avati.
Tõlkimine muudab, mida allpool olevad reeglid näevad
Lähtekoodi tõlkimine on mugav ja hävitab teabe. Pärast masquerade'i näeb iga klient välja nagu seade, nii et allpool olev kasutajate eristamiseks kirjutatud reegel ei saa seda enam teha. See pole ainult logimise probleem, see on poliitika probleem: kliendi aadressile võtmel põhinev reegel muutub vaikselt lüüsile võtmel põhinevaks reegliks. Kui kasutajapõhine poliitika loeb, säilita lähteaadress või rakenda poliitikat enne tõlkimist.
Vastusteel väärib sama kontrolli. Kirjuta üles, millise marsruudi sihtkoht tagastuspaketile valib, sest asümmeetriline tagasitulek möödub olekupõhisest kontrollist ja tekitab ühenduse, mis luuakse ja jääb siis seisma. Mõlemad suunad peavad ületama joonistatud piiri, muidu on piir kaunistus.
sudo tcpdump -ni inside0 host 10.20.5.10
ip route get 10.20.5.10
sudo iptables -t nat -S POSTROUTINGVõta vastu üks lubatud ja üks keelatud toiming
Testi päris kaugkliendist, mitte haldushostist, sest haldushost asub tavaliselt kohas, kuhu kasutaja kunagi ei jõua. Üks lubatud toiming tõestab, et tee töötab, ja üks keelatud toiming tõestab, et poliitika üldse midagi teeb. Käivita mõlemad pärast igat paigutuse muutust ja kirjuta üles kasutatud lähteidentiteet ja sihtkoht. Test, mis tõestab ainult õnnestumist, ei suuda eristada õiget reeglit puuduvast.
Seejärel testi juhtumeid, mis muudavad olekut: taasühendus, võtmerotatsiooni üle elav seanss ja seadme enda rike. Võrdle uuendusi, mahtu ja taastumist sama paigutuse osana, sest üks seade, mis hoiab mitut loogilist kontrolli, on üks rikkedomeen mitme sildiga. Ka teine kast ei ole sõltumatu, kui jagatud haldustunnus või piiramatu marsruut lööb üle piiri, mille see pidi looma.
Dokumenteeri lõpp-punkt, dekrüpteeritud teekond ja seda piirav kontroll. Need kolm rida jäävad mõttekaks, kuidas iganes juurutust nimetatakse.