Marraztu deszifratutako bidea: non aplikatzen duen politika VPN gailu batek
Entzule zifratuan amaitzen den diagrama batek ez du erakusten axola duen politika. Marraztu deszifratutako bidea, eta alderatu kokapenak eskaerak zer zeharkatzen duen kontuan hartuta.
Hornitzaileen diagramek entzule zifratuan amaitzen dute normalean, helbide publikoa duen zatia hori delako. Segurtasun jarrera erabakitzen duen galdera deszifratu ondoren zer gertatzen den da, paketea IP arrunt bihurtzen denean eta bideratze-taulak uzten duen guztiara irits daitekeenean. Inork hanka hori marraztu ez badu, inork ez du haren jabe egiten. Beheko runbookak lehenengo hura marraztu eta gero kokapenak alderatzen ditu deszifratutako eskaerak benetan zer zeharkatzen duen kontuan hartuta.
Marraztu paketea deszifratu ondoren, ez aurretik
Kanpoko bidea da hornitzaileek dokumentatzen duten zatia: amaiera-puntu publikoa, konexioa onartzen duen garraio-politika bat eta konexioa amaitzen duen zerbitzu bat. Barne-bidea paketeak tunel-goiburua galtzen duen unean hasten da, eta hortik aurrera tunelarekin zerikusirik ez duten bideratze- eta iragazte-arauak ditu gobernari. Jarri biak orri berean, zeren eta lehenengoa baino ez duen diagramak onarpena eta baimena erabaki bakarra direla iradokitzen baitu. Ez dira, eta bien arteko hutsunea da kokapen gehienak hondatzen diren tokia.
Idatzi barne-hanka zenbakitutako sekuentzia gisa, gailu mota izendatuekin, gezi bat erabili ordez. Geziak ezkutatzen du eskaerak iragazki bat zeharkatzen duen ala ez, eta zeharkatzea edo ez zeharkatzea da kontua osoa. Beheko jauzi bakoitzak gailua eta han jarduten duen arau-multzoa izendatzen ditu, beraz falta den iragazkia hutsune gisa agertzen da, lerro batek iradokita egon beharrean.
- Urrutiko bezeroa: tunela sortzen duen erabiltzaile-gailua.
- Ertzeko politika: kanpoko garraioa entzule publikora onartzen duen arau-multzoa.
- Amaierako gailua: paketea deskapsulatu eta IP arruntari ematen dion VPN amaiera-puntua.
- Barne-iragazkia: bezeroaren eta zerbitzuaren arteko trafikoa mugatzen duen birbidaltze- edo segurtasun-talde arau-multzoa.
- Aplikazioaren ostalaria: deszifratutako eskaera jasotzen duen zerbitzua.
Bi politika, bi jabe
Kanpoko politikoak nork tunel bat ezar dezakeen erantzuten du, eta amaitzen duen zerbitzura garraioa onartzen duten arauetan adierazten da. Barne-politikoak autentifikatutako erabiltzaile batek zein zerbitzutara irits daitekeen erantzuten du, eta birbidaltze-arauetan, segurtasun-taldeetan edo aplikazioan bertan bizi da. Gailu bakar batek biak ostatatu ditzake, eta hainbat gailutako diseinuak biak ditu oraindik. Bietarako izen bereziak erabiltzeak uzten dizu esaten zein huts egin duen erabiltzaile bat aplikazio batera iritsi ezin denean.
Onarpen-kontrolak, hala nola ziurtagiriak eta faktore anitzeko autentifikazioa, identitateari erantzuten diote eta ez beste ezeri. Ez dute kokapena erabakitzen, eta ez dute baliabide bakoitzeko baimenik ematen erabiltzailea barruan dagoenean.
Kokapenak erabakitzen du zein muga zeharkatzen duen eskaerak
Hiru kokapen ohikoak dira, eta bakoitzak deszifratutako eskaerak zein muga zeharkatzen duen aldatzen du. Alderatu itzazu han zer amaitzen den, zer den testu laua ikusteko gai, zein kontrolak oraindik eskaera ukatu dezakeen eta gailuarekin zer huts egiten duen. Beheko taulak lau zutabe horiek erabiltzen ditu galdera orokor baten ordez, erantzun bakoitza diseinu-erabaki bereizia delako.
| Placement | What terminates there | What sees plaintext | Which control can still deny | Failure domain |
|---|---|---|---|---|
| Termination in a dedicated segment | A dedicated VPN endpoint | The endpoint and anything on its segment | The filter between that segment and the application | The segment path can bypass the filter if no rule sits on it |
| Termination on the edge firewall | The firewall's public listener | The firewall, after decapsulation | The firewall's inner rule set | Admission and inspection fail together |
| Termination on the protected LAN | The appliance's LAN leg | Every host on the protected LAN | Only a host control or a downstream gateway | The appliance and the protected hosts fail together |
Hirugarren kokapena da betearazpena isilean kentzen duena, zeren eta segmentu babestuan dagoen hanka batek gailuari diagramak erakutsiko ez duen bide zuzena ematen baitio. Aztertu interfazeak eta bideak, irudia baino: ip route get 10.20.5.10 paketea zein interfazetatik irtengo litzatekeen jakinarazten du, eta erantzuna sarritan ez da diseinuak suposatu zuena. Suhormaren klasiko papera jarreren arteko trafikoa kontrolatzean, honela deskribatua:NIST SP 800-41, proba erabilgarria da hemen, zeren eta sare babesturako mugarik gabeko hanka duen gailu batek ez baitu asko kontrolatzen. Bide-kontsulta diagrama zintzoagoa da aurkezpenean dagoena baino.
Administrazioa berariaz baimendutako bere bide propioan egon behar da. Erabiltzaileei aplikazio batera iristea ahalbidetzeak ez du inoiz eskatzen gailuaren kontrol-interfazera iristea ahalbidetzea, eta bi baimenak arau ezberdinetatik eman behar dira. Egiaztatu bide biak bereizita, zeren partekatutako arau batek ezkutatzen baitu zein ireki zen.
Itzulpenak aldatzen du beheragoko arauek zer ikus dezaketen
Iturburuaren itzulpena erosoa da eta informazioa suntsitzen du. Masqueradearen ondoren bezero bakoitza gailua bezalakoa da, beraz erabiltzaileak bereizteko idatzitako beheragoko arau batek ezin du hori egin. Ez da soilik erregistro-arazo bat, politika-arazo bat da: bezeroaren helbidean giltzatutako arau bat isilean pasabidean giltzatutako arau bihurtzen da. Erabiltzaile bakoitzeko politikak axola badu, gorde iturburua edo betearazi politika itzulpena baino lehen.
Erantzun-bideak ikuskapen bera merezi du. Erregistratu helmugak itzultzeko paketearentzat zein bide aukeratzen duen, zeren itzulera asimetriko batek egoerako ikuskapena saihesten baitu eta ezartzen den eta gero blokeatzen den konexioa sortzen baitu. Bi norabideek marraztu duzun muga zeharkatu behar dute, bestela muga apaingarria da.
sudo tcpdump -ni inside0 host 10.20.5.10
ip route get 10.20.5.10
sudo iptables -t nat -S POSTROUTINGOnartu eragiketa baimendu bat eta ukatutako beste bat
Probatu benetako urrutiko bezerotik eta ez kudeaketa-ostalaritik, zeren kudeaketa-ostalaria erabiltzailea inoiz egongo ez den tokian egoten baita. Eragiketa baimendu batek bideak funtzionatzen duela frogatzen du, eta ukatutako batek politikak benetan zerbait egiten duela. Exekutatu biak kokapen-aldaketa bakoitzaren ondoren, eta erregistratu erabili duzun iturburu-identitatea eta helmuga. Arrakasta soilik frogatzen duen proba batek ezin du arau zuzena falta den batetik bereizi.
Ondoren probatu egoera aldatzen duten kasuak: berriz konektatzea, gakoen errotazioa gainditzen duen saio bat eta gailuaren beraren hutsegitea. Alderatu eguneratzeak, edukiera eta berreskuratzea diseinu beraren parte gisa, zeren hainbat kontrol logiko eusten dituen gailu bat etiketa askotako hutsegite-eremu bakarra baita. Bigarren kaxa bat ere ez da independentea kredentzial administratibo partekatu batek edo mugarik gabeko bide batek sortu behar zuen muga garaitzen duenean.
Dokumentatu amaiera-puntua, deszifratutako bidea eta hura mugatzen duen kontrola. Hiru lerro horiek esanahia gordetzen dute inplementazioa nola deitzen den ere.