Nola mugatu VPN bidez lotutako bi bulegoren arteko sarbidea
Gune arteko tunel bat ez da elkarrekiko konfiantza. Eraiki iturri, helmuga eta zerbitzuaren matrize bat, aplikatu deskifratutako trafikoan, eta frogatu ukapen bat ere.
Gune arteko tunel batek galdera bakarra erantzuten du, bi bulegoek paketeak trukatu ditzaketen, eta garrantzitsuena irekita uzten du: zein sukurtsal gailuk zein zerbitzu zentral jo dezakeen. Tunela elkarrekiko konfiantza gisa tratatzea da bisitari baten eramangarria finantza zerbitzariaren bide berera iristen den modua. Konponbidea ez da tunel hobea, deskifratzearen ondoren aplikatzen den baimen zerrenda esplizitua baizik. Gidaliburu honek zerrenda hori definiziotik frogatutako ukapenera eramaten du.
Lan egin ordena honetan, eta ez zabaldu tunelaren ibilbidea beheko politika urratsak gainditu arte.
Idatzi matrizea atebidea ukitu aurretik
Errenkada erabilgarri batek hiru gauza izendatzen ditu: iturri talde bat, helmuga ostalari edo zerbitzu sare bat, eta aplikazioak benetan erabiltzen dituen protokoloa eta ataka. Sukurtsala eta datu zentroa ez dira sarrerak. DNS pribatuak eta autentifikazio zerbitzuek beren errenkadak merezi dituzte aplikazioak haiek gabe lan egin ezin duenean soilik.
Taldekatu iturriak rolaren arabera, ez azpisarearen erosotasunaren arabera: langileak, bisitariak, administrazioa. Hirurek LAN lau bat partekatzen dutenean, atebideak ezin ditu sare mailan bereizi, beraz identitate kontrolak edo segmentazioa lehenago etorri behar dira. Gero jarri matrizea idatziz, errenkada bakoitzean arduradun bat eta berrikuspen data bat.
| Iturria | Helmuga | Zerbitzua | Erabakia |
|---|---|---|---|
| sukurtsaleko langileak | erreserba aplikazioa 10.10.5.10 | TCP 443 | baimendu deskifratzen duen atebidean |
| sukurtsaleko langileak | zerbitzarien administrazio VLAN | edozein | inplizitutako ukapena |
| bisitarien Wi-Fi | edozein tarte zentral | edozein | ukatu tunelaren aurretik |
| administrazio jauzi ostalaria | zerbitzarien VLAN | TCP 22 eta 3389 | baimendu MFA-rekin, ostalariaren suebakiak gehiago estutzen du |
Betearazi paketeak deskifratzen diren tokian
IKE eta ESP baimentzen dituzten arauek kanpoko tunela baino ez dute eraikitzen. Barne trafikoa garbi iristen da tunelaren interfazera, eta han du lekua baimen zerrendak: birbidaltze katea deskifratzen duen gailuan, lehenetsitako jaurtiketa, arau bat matrizearen errenkada bakoitzeko. Linux atebideetan horrek esan nahi du birbidaltzea gaituta eta iragazki arauak tunelaren gailuan daudela, ez lotura fisikoan, eta hori azaltzen du strongSwanen birbidaltze gidak.
Trafiko hautatzaileak bideratze erabakia dira, ez autorizazio erabakia. Bi azpisareak estaltzen dituen hautatzaile zabal bat zuzena izan daiteke bideratzeko, suebakiak ostalari bakarrera TCP 443 baino onartzen ez duen bitartean. Hautatzailea tunelerako negoziatzen da eta bertara zer sar daitekeen deskribatzen du, ez gailu jakin batek zer erabil dezakeen. Ez zabaldu inoiz suebaki arau bat hautatzailea zabala delako.
iptables -A FORWARD -i tun0 -s 10.20.0.0/24 -d 10.10.5.10 -p tcp --dport 443 -j ACCEPT
iptables -A FORWARD -i tun0 -j DROPNAT eta gainjarritako azpisareek arauak aldatzen dituzte
Sukurtsaleko atebideak tunelaren aurretik ostalari bakoitza helbide bakarrera itzultzen duenean, iturrian oinarritutako errenkada bakoitza helbide horretan bertan behera erortzen da. Edo utzi tunel trafikoa itzultzeari, edo onartu arauek beste zerbaitetan oinarritu behar dutela, hala nola itzulketaren aurretik erregistratutako jatorrizko iturri helbidea. Urruneko aldeak arazo bera du, helmuga ostalariak NAT osteko helbidea ikusten baitu, ez jatorrizkoa.
Gainjarritako tarteak beste tranpa dira. Bi buelegok 192.168.1.0/24 erabiltzen badute, ezin dira politika taula bakarrean deskribatu alde bat mapatu gabe, eta mapatzeak ez du ordezkatzen talkarik egiten ez duen helbideratzea. Konpondu plana geroago askatu beharko dituzun arauak idatzi aurretik.
Frogatu ukapen bat, ez soilik arrakasta bat
Baimendutako aplikazioa soilik probatzeak oso gutxi frogatzen du, gorago nonbait arau permisibo batek emaitza bera ematen baitu.
Sukurtsaleko gailu arrunt batetik iritsi nahi den zerbitzura eta egiaztatu saio osoak funtzionatzen duela. Gero saiatu itxita egon behar duen helmuga bat, hala nola zerbitzari bateko administrazio ataka bat, sukurtsalak zerikusirik ez duena, eta irakurri baztertu zuen kontagailua edo erregistro sarrera. Arau multzoa desaktibatzea funtzionatzen duen egiaztatzeko proba baliogabetzen du eta atebidea irekita uzten du begiratzen duzun bitartean.
Mantendu zerrenda bizirik
Aplikazioak mugitzen dira, eta bere aplikazioa baino gehiago bizi den araua inork ez duen zulo bihurtzen da. Lotu berrikuspen data errenkadari, eta aldatu hautatzailearen irismena eta suebaki araua mantentze urrats berean zerbitzu batek helbidez aldatzen duenean.
Ostalari mailako murrizketek oraindik garrantzia dute tunelaren atzean: zerbitzariaren beraren suebakiak sukurtsalaren tartea argitaratzen duen zerbitzurako soilik onartu behar du. Bat datozen bi geruza errazago auditatzekoak dira guztiz fidatzen den geruza bakarra baino.