VPN-tik VLANerako sarbidea: eraiki matrizea arauak baino lehen
Rolak alde batean, zerbitzuak bestean. Bost egiaztapenek VPN-tik VLANerako diseinu lauso bat suebakiaren jabeak inplementa dezakeen taula bihurtzen dute.
Hasi matrizearekin, ez suebakiaren sintaxiarekin. Rolak alde batean eta zerbitzuak bestean dituen taula bat aplikazio baten jabeak berrikus dezake, segurtasunaren jabeak eztabaida dezake eta atebidea duenak inplementa dezake. Berrikuspen hori inork adostu ez dituen arauak araztea baino merkeagoa da.
Idazten emandako ordu batek aste bateko arau-ararkeologia aurrezten du geroago. Diseinuak nor zerbitzu batera iristen den kontatzen du, eta hori da berrizendatzeak gainditzen duen zatia.
1. urratsa: izenda itzazu rolak sareak baino lehen
Hasi pertsonekin, ez kommutadorearekin. Idatzi urrutitik konektatzen den talde bakoitza eta talde horrek zer egiten duen deskribatzen duen esaldi bakarra, adibidez stock-mailak irakurtzen dituen biltegiko langileak edo integrazio bat mantentzen duen kontratista. Bi taldek sarbide bera jasoko balute, helburu horretarako rol bakarra dira.
Gelditu hemen rol bat organigrama batengatik soilik badago. Zerbitzu-behar berezirik ez duen rola zelula berdinak dituen errenkada bat bihurtzen da, eta errenkada berdinak norbaiti eroso izatearren azpisare oso bat geroago ematera bultzatzen dute. Banatu jendeak egiten duenaren arabera, ez haien gastuak nork sinatzen dituen arabera. Sei rol gehiegi izaten dira bulego txiki baterako eta hiru izaten da zuzena askotan.
2. urratsa: bihurtu zelula bakoitza zerbitzu-adierazpen
«Aplikazioak» dioen zelula ez da egiaztagarria. «HTTPS ERP ostalarira 443 portuan, langileen multzotik» dioen zelula egiaztagarria da. Ordezkatu sare-izen bakoitza helmuga, protokolo eta ataka batekin, eta gero gehitu zerbitzuak behar duen mendekotasuna, esaterako barne-konponbidea edo identitate-hornitzailea.
| Check | Passes when | Stop if |
|---|---|---|
| Destination named | Host and port appear in the cell | Cell names a VLAN or a subnet |
| Direction stated | Initiator and responder are both clear | Cell implies two-way access |
| Dependency listed | DNS or identity path is explicit | Whole infrastructure range is granted |
| Negative case written | At least one denied pair is recorded | Only allow rules exist |
Norabide-zutabeak errore garestienak harrapatzen ditu. Langileek aplikazio bat irekitzeko baimenak ez du esan nahi aplikazio-zerbitzariek langileen eramangarrietara itzulerako konexioak ireki ditzaketenik, eta lehen norabidea uzten duen egoera-arauek askotan bigarrena uzten dutela irakurtzen da.
3. urratsa: erabaki non bihurtzen den identitatea politika
Norbaitek autentifikatutako saio bat atebideak aplikatu dezakeen rol bihurtu behar du. Onartutako aukeren artean daude autentifikazio-backendak emandako talde-politika, saio-atributu fidagarriak edo rol bakoitzeko helbide-multzo bereiziak. Hirurek funtzionatzen dute; bezeroak bidalitako etiketa batek ez. Aukeratu zure atebideak dokumentatzen duen mekanismoa, foroko mezu batek deskribatzen duena ez.
VLAN bati soilik dagokiola dirudien helbide bat esleitzea erantzun-eza bera da beste jantzi batean. Netgate-ren OpenVPN suebaki-arauen gidak bereizketa argi uzten du: tunela altxatzen uztea erabaki desberdina da trafikoa bertatik pasatzen uztea baino.
Idatzi zein mekanismo aukeratu duzun eta non dagoen konfiguratuta. Rol bat aldatzen denean, ohar hori edizio baten eta hiru interfaze zeharkatzen dituen ehiza baten arteko aldea da. Auditore bati lehenik non begiratu ere esaten dio.
4. urratsa: erreparatu helmugak ikusten duen iturburu-helbideari
Birbidaltze-politikak mugan benetako iturburuarekin bat etorri behar du. Atebideak VPN bezeroak bere helbidera itzultzen baditu, beheragoko suebaki bakoitzak iturburu bakarra ikusten du eta rolen arabera erabakitzeko gaitasuna galtzen du. Bezeroaren helbidea mantentzen badu, itzulera-bidea egon behar da multzo horretarako.
Probatu bi norabideak azken arauak idatzi aurretik, eta gero erregistratu ikusitako iturburua zelula bakoitzaren ondoan. Exekutatu egiaztapen bera bi rol ezberdinetatik eta alderatu emaitza. Biek atebidearen helbidea erakusten badute, rolen bereizketa galdu egin da. Helbide mantenduak suposatzen dituen matrizeak, atebideak iturburu-itzulpena egiten duen bitartean, beheragoko lehen ACL-an huts egiten du.
5. urratsa: probatu zelula bakoitza bidali aurretik
Bihurtu baimendutako zelula bakoitza eragiketa adierazgarri batean eta ukatuako zelula bakoitza kasu negatibo batean. Exekutatu biak benetako roleko bezero batetik, ez atebidearen kontsolatik, kontsola probatzen ari zaren bidea saihesten baitu.
# allowed: staff role reaches the ERP endpoint
curl -sS -o /dev/null -w '%{http_code}\n' --max-time 5 https://erp.internal.example/health
# denied: the same role must not reach a management host
nc -vz -w 3 10.30.5.11 22
# observed source address at the destination
sudo tcpdump -ni any 'tcp port 443 and host 10.30.20.15'Konektatzen duen kasu negatiboa aurkikuntza bat da, ez kasualitatea, eta matrizean zelula huts gisa dagokio araua konpondu arte. Mantendu proba-komandoak taularen ondoan, hurrengo berrikusleak berriro exekuta ditzan arrazoiketa berreraiki beharrean.
Amaitutako taulak idatzi zen atebidea baino gehiago irauten du. Arauak firmware eta hornitzailearekin aldatzen dira, baina kontratista batek proiektu-zerbitzu batera iristen dela dioen errenkadak egia izaten jarraitzen du lan hori aldatu arte.