Kuidas piirata juurdepääsu kahe VPN-iga ühendatud kontori vahel
Kohapealt kohapeale tunnel ei ole vastastikune usaldus. Koostage allika, sihtkoha ja teenuse maatriks, rakendage see dekrüpteeritud liiklusele ja tõestage ka keeldumine.
Kohapealt kohapeale tunnel vastab ühele küsimusele, kas kaks kontorit saavad pakette vahetada, ja jätab olulise lahtiseks: milline harukontori seade tohib millisele kesksele teenusele pääseda. Tunneli pidamine vastastikuseks usalduseks on viis, kuidas külalise sülearvuti satub finantsserveriga samale teele. Lahendus ei ole parem tunnel, vaid selgesõnaline lubade loend, mida rakendatakse pärast dekrüpteerimist. See juhend viib selle loendi määratlusest tõestatud keeldumiseni.
Töötage selles järjekorras ja ärge laiendage tunneli marsruuti, kuni allpool olevad poliitika sammud läbivad.
Kirjutage maatriks enne, kui puudutate lüüsi
Kasulik rida nimetab kolme asja: allikagrupp, sihtkoha host või teenusevõrk ning protokoll ja port, mida rakendus tegelikult kasutab. Harukontor ja andmekeskus ei ole kirjed. Privaatne DNS ja autentimisteenused väärivad oma ridu ainult siis, kui rakendus ei saa ilma nendeta töötada.
Rühmitage allikad rolli, mitte alamosavõrgu mugavuse järgi: töötajad, külalised, haldus. Kui kõik kolm jagavad ühte lamedat LAN-i, ei suuda lüüs neid võrgukihis eristada, seega peavad identiteedikontrollid või segmenteerimine tulema esimesena. Seejärel pange maatriks kirjalikult kirja, iga rea juures omanik ja ülevaatamise kuupäev.
| Allikas | Sihtkoht | Teenus | Otsus |
|---|---|---|---|
| harukontori töötajad | broneerimisrakendus 10.10.5.10 | TCP 443 | luba dekrüpteerivas lüüsis |
| harukontori töötajad | serverite halduse VLAN | mis tahes | kaudne keeldumine |
| külaliste Wi-Fi | mis tahes keskne vahemik | mis tahes | keeldu enne tunnelit |
| administratiivne hüppehost | serverite VLAN | TCP 22 ja 3389 | luba koos MFA-ga, hosti tulemüür kitsendab veelgi |
Rakendage seal, kus paketid dekrüpteeritakse
Reeglid, mis lubavad IKE ja ESP, ehitavad ainult välise tunneli. Sisemine liiklus saabub tunneliliidesele avatult ja just sinna kuulub lubade loend: edastusahel dekrüpteerival seadmel, vaikimisi langetamine, üks reegel maatriksi rea kohta. Linuxi lüüsides tähendab see sisse lülitatud edastust ja filtreerimisreegleid tunnelseadmel, mitte füüsilisel ühendusel, nagu selgitab strongSwani edastusjuhend.
Liikluse selektorid on marsruutimise otsus, mitte autoriseerimise otsus. Lai selektor, mis katab mõlemad alamosavõrgud, võib marsruutimiseks õige olla, samal ajal kui tulemüür lubab endiselt ainult TCP 443 ühele hostile. Selektor lepitakse tunnelile kokku ja kirjeldab, mis tohib sellesse siseneda, mitte mida ükski seade tohib kasutada. Ärge kunagi laiendage tulemüürireeglit sellepärast, et selektor on lai.
iptables -A FORWARD -i tun0 -s 10.20.0.0/24 -d 10.10.5.10 -p tcp --dport 443 -j ACCEPT
iptables -A FORWARD -i tun0 -j DROPNAT ja kattuvad alamosavõrgud muudavad reegleid
Kui harukontori lüüs tõlgib enne tunnelit iga hosti üheks aadressiks, koondub iga allikapõhine rida sellesse ühte aadressi. Kas lõpetage tunnelliikluse tõlkimine või nõustuge, et reeglid peavad toetuma millelegi muule, näiteks algsele allikaaadressile, mis registreeriti enne tõlkimist. Kaugemal poolel on sama probleem, sest sihtkoha host näeb NAT-i järgset aadressi, mitte algset.
Kattuvad vahemikud on teine lõks. Kaht kontorit, mis mõlemad kasutavad 192.168.1.0/24, ei saa kirjeldada ühes poliitikatabelis ilma ühte poolt kaardistamata, ja kaardistamine ei asenda adresseerimist, mis ei kattu. Parandage plaan enne, kui kirjutate reeglid, mille peate hiljem lahti harutama.
Tõestage keeldumine, mitte ainult õnnestumine
Ainult lubatud rakenduse testimine tõestab väga vähe, sest kuskil ülalpool olev lubav reegel annab sama tulemuse.
Tavalisest harukontori seadmest jõudke kavandatud teenuseni ja kinnitage, et kogu sessioon töötab. Seejärel proovige sihtkohta, mis peab suletuks jääma, näiteks administratiivne port serveris, millega harukontoril pole midagi teha, ja lugege loendurit või logikirjet, mis selle kõrvale heitis. Reeglistiku väljalülitamine, et kontrollida, kas see töötab, muudab testi kehtetuks ja jätab lüüsi lahtiseks, kuni te vaatate.
Hoidke loend elusana
Rakendused liiguvad ja reegel, mis elab oma rakendusest kauem, muutub august, mida keegi ei oma. Kinnitage ülevaatamise kuupäev rea külge ja muutke selektori ulatust ja tulemüürireeglit samas hooldussammus, kui teenus aadressi vahetab.
Hosti tasandi piirangud loevad endiselt tunnelitaguses: serveri enda tulemüür peaks harukontori vahemikku lubama ainult teenusele, mida see avaldab. Kaks kokkusobivat kihti on lihtsamini auditeeritavad kui üks kiht, mida täielikult usaldatakse.