Krüpteeritud transiit ei anna operaatorile juurdepääsu

Kaks heakskiidetud lüüsi kannavad madalama usaldusega võrgu liiklust üle piiratud transpordivõrgu. Kandevkoormuse krüpteerimine hoiab selle tavaliste transiidivaatlejate jaoks loetamatuna ja see on osa, mille inimesed esimesena projekteerivad ning seejärel sellele mõtlemise lõpetavad. Mida krüpteerimine ei tee, on määratleda, millistele ressurssidele madalama usalduse pool võib jõuda. Projekteerimine vajab kahte piiri: ühte kantava vestluse ümber ja teist operaatorile juurdepääsu ümber.

Tehke allolevad sammud järjekorras ja käsitlege tõrget mis tahes sammul projekteerimise muudatusena, mitte konfiguratsiooni kohandamisena.

Määratlege mõlemad piirid enne, kui konfiguratsiooni puudutate

Esimene piir on vestlus: millised lüüsipaarid tohivad tunneli luua ja milline sisemine liiklus sellest läbi lastakse. Teine on operaator: millistele aadressidele ja teenustele pääsevad madalama usaldusega hostid väljaspool tunnelit juurde. Meeskonnad ehitavad tavaliselt esimese ja pärivad teise millisest iganes marsruutimisest, mis juba olemas oli, ja nii muutub piiratud projekt vaikselt laiaks. See pärand on tavaline juurpõhjus, kui ülevaatus leiab madalama usaldusega hosti rääkimas millegagi, mida keegi ei kiitnud heaks.

Kirjutage mõlemad üles aadresside, portide ja suundade loenditena. Kui loendit ei saa kirjutada, ei ole piir veel määratletud.

Samm 1: piirake välimine tunnel

Operaatori poole suunatud liidesel lubage ainult seda, mida tunnel vajab: IKE UDP 500 ja 4500 peal kahe lüüsi aadressi vahel ning ESP seal, kus NAT-i läbimist ei kasutata. Keelake kõik muu, mis sellele liidesele saabub, sealhulgas haldusprotokollid. ESP spetsifikatsioon hõlmab kaitsteenuseid; see ei ütle midagi selle kohta, milliseid operaatori enda teenuseid tohivad lüüsid kasutada. Väljendage seda selge lubatud loendina, et äsja avaldatud operaatori teenus ei muutuks vaikimisi kättesaadavaks.

See on reeglistik, mis teeb projektist transiidiprojekti, mitte peering-kokkuleppe.

Kontrollige seda madalama usalduse poolelt, mitte lüüsi konsoolilt. Sealne host peaks operaatori DNS-serverini jõudma mitte enne, kui tunnel on püsti.

Samm 2: otsustage, mida kaugem lüüs edastab

Kaugemas otsas peab taastatud liiklus minema kindlasse kohta. Määratlege, millised sisemised teenused on lubatud, millistest lähtevahemikest ja kas vastuseid oodatakse sümmeetrilisena. Vaadake haldusjuurdepääs eraldi üle, sest sama lüüs paljastab sageli haldusliidese, mis ei olnud kunagi transiidiplaani osa.

Diagramm, mis lõpeb eduka dekrüpteerimisega, on jätnud kõige olulisema otsuse vahele.

Samm 3: säilitage omandiõigus kihi kaupa

Transiidiseadmed võtavad endiselt vastu ja edastavad väliseid pakette, seega vajavad need paiku ja mahutavuse planeerimist. Tunneli otspunktid töötlevad kaitstud protokolli ja avavad sisemise liikluse oma edastusteele, seega vajavad need oma reegleid ja oma jälgimist. Lõpprakendused töötlevad kandevkoormust ja läbipaistmatu kandevkoormus ei ole tõestus, et dekrüpteeritud allalaadimine on kahjutu.

Määrake igale kihile omanik. Omanikuta kihid on need, mis triivivad.

Samm 4: kontrollige ja andke see seejärel asutusele üle

Kontrollige välist teed, kui tunnel on püsti ja operaatori reeglid paigas. Seejärel proovige iga ressurssi, millele madalama usalduse pool ei peaks jõudma, ja kinnitage, et tõrge on keeldumine, mitte marsruuti varjav aegumine. Kontrollige ka käideldavust ja ressursipiiranguid, sest ka krüpteeritud linki saab küllastada.

Reguleeritud või salastatud keskkondade puhul viige projekt vastutavale julgeolekuasutusele ja kasutage selle heakskiidetud eraldusarhitektuuri. VPN-i konfiguratsioon ja kontseptuaalne selgitus ei loo akrediteeringut. See samm ei ole paberimajandus; see otsustab, kas projekt tohikski üldse olemas olla.