Deszifratu ondoren: zein politikak ikusten du zure VPN trafikoa lehenengo

VPN fluxu bat erabat zifratua eta erabat autentifikatua izan daiteke, eta hala ere inork planifikatu ez zuen tokian amaitu. Konektatzen duzun kableak ez du zehazten barne paketea zein arauk prozesatzen duen; politika-kakoak eta ibilbideak egiten dute. Beraz, rack diagrama batean berdinak diruditen bi diseinuk betearazpen erabat desberdina izan dezakete. Bien artean aukeratzea deszifratutako fluxua lehenengo ikusten duen kontrolari izena ematen hastea da.

Erabaki politika-kakoaren arabera, ez atakaren arabera

VPN plataforma bakoitzak deszifratutako trafikoa uneren batean ebaluatzen du bidali aurretik, eta puntu horrek izen bat du konfigurazioan. Plataforma batean talde-politikaren iragazkia da, beste batean interfaze-politika edo zona-parea, eta bideratzen duen gailuan forward katea besterik ez da izan daiteke. Kakoak betearazten du araua, eta switch ataka kablea amaitzen den lekua baino ez da. Kakoa aurkitzea lehen erabakia da, gainerako guztia harekin lotutako kokapena delako.

Hardwarea begiratu aurretik, idatzi fluxua: nor den iturria, nora doan, zein protokolo daraman eta zein zerbitzu onartzen den. Gero aurkitu lau gertaera horietako bakoitza betearazten duen kontrola.

Bi bide, betearazpen-istorio desberdin bi

Bi forma ohikoak dira, eta bakoitza baldintza desberdin baterako zuzena izan daiteke.

endpoint -> shared inside subnet -> server
endpoint -> dedicated transit -> policy firewall -> server subnet

Lehen formak atebidean behar duen guztia betearaz dezake, atebideko politikak helmuga horretarako idatzita badago eta zerbitzariak inguruan pasatzeko biderik ez badu. Bigarren formak muga bat gehitzen du, baina bideak eta politikak trafikoa benetan zehar pasarazten badute soilik. Amaierako puntuaren segmentu berean dagoen zerbitzari batek agian ez du inoiz irudikatutako tarteko jauzia jarraituko. Diagramak asmoa erakusten du, eta bideratze-taulak zer gertatzen den.

Egiaztatu ibilbide-kontsulta batekin, marrazkiarekin beharrean. Paketeak irteten duen interfazeak eta aukeratzen duen hurrengo jauziak erabakitzen dute bigarren formak diseinatu bezala funtzionatzen duen.

ip route get 10.30.7.20
sudo iptables -S FORWARD
sudo tcpdump -ni inside0 host 10.30.7.20

Bereizi topologia isolamendutik

Azpisare bat partekatzeak ez du leku bat fidagaitz bihurtzen, eta trantsitu dedikatuak ez du babestu egiten. Erabakitzen duena benetan aplikatutako murrizketa da, benetan gertatzen den birbidalketa eta zati bakoitza nork administratzen duen. Switchak zenbatzeak ez du hiru horietako ezer esaten. Erabaki politikatik eta ibilbidetik, eta utzi topologiari erabakia jarraitzen.

Trafiko-populazioak ere bereizita tratatu. Urruneko sarbideko poolak, gunetik guneko aurrizkiak eta linea pribatuko sareek gailu bat parteka dezakete eta hala ere arau desberdinak behar, haien identitatea eta arriskua desberdinak direlako. Populazio baterako idatzitako arau batek isilpean estaltzen ditu besteak helbide-plana partekatzen dutenean.

Egiaztatu hutsegitea eta kudeaketa kokapen bakoitzeko

Kokapen bakoitzak hutsegite-modu bat du, eta galdera erabilgarria da zer funtzionatzen duen oraindik osagai bat gelditzen denean. Gailu hil bakarrean hainbat interfaze logikok ez dizute berreskuratze independenterik ematen, eta elikadura bera edo administratzaile bera partekatzen duen beheko suebakiak ez du bigarren muga osatzen. Galdetu kudeaketa-bidea nondik doan, zeren tunelaren bidez soilik irisgarria den kontsola ez baita berreskuratze-bide bat ere; ssh [email protected] true tunelaren kanpotik proba merkeena da kontsola harekin menpekoa ez dela frogatzeko. Plataforma baten talde-politikaren dokumentazioak bere iragazkia deszifratu osteko eta zifratu aurreko trafikoan jartzen du, eta hori da edozein produktutan bilatu beharreko kako izendatu mota.

Idatzi hautagai bakoitzaren hutsegite-istorioa betearazpen-istorioaren ondoan. Ikuskapenean irabazten eta berreskuratzean galtzen duen kokapena truke bat da, eta horrela erregistratu behar da, intzidente batean aurkitu beharrean.

Onartu baimendutako fluxu batekin eta ukatu batekin

Onartutako proba-planarekin, egiaztatu hiru gauza benetako VPN iturritik: funtzionatu behar duen aplikazioa, funtzionatu behar ez duen baliabidea, eta erantzuna itzultzen den norabidea. Ukatzeak politikak parte hartzen duela frogatzen du, eta baimendutako fluxuak bide bat badagoela soilik.

Gorde aukeratutako bidea eta politikaren emaitza elkarrekin, zeren emaitza biderik gabe ezin baita erreproduzitu eta bidea emaitzarik gabe ezin baita defendatu. Bikote hori askoz erabilgarriagoa da atxikimendu-puntu bat aukeratzeko, zein kommutazio-geruza den berez seguruagoa den edozein baieztapena baino.