Salauksen purkamisen jälkeen: mikä käytäntö näkee VPN-liikenteesi ensin

VPN-virta voi olla täydellisesti salattu ja täydellisesti todennettu ja silti päätyä sinne, minne kukaan ei suunnitellut. Liittämäsi kaapeli ei määrää, mikä sääntö käsittelee sisäpaketin; sen tekevät käytännön koukku ja reitti. Siksi kaksi telinediagrammissa samalta näyttävää ratkaisua voivat toteuttaa täysin eri tavalla. Valinta niiden välillä alkaa nimeämällä se valvonta, joka näkee puretun virran ensin.

Päätä käytännön koukun, älä portin mukaan

Jokainen VPN-alusta arvioi puretun liikenteen jossain pisteessä ennen sen välittämistä, ja sillä pisteellä on nimi määrityksissä. Yhdellä alustalla se on ryhmäkäytännön suodatin, toisella liitäntäkäytäntö tai vyöhykepari, ja reitittimessä se voi olla yksinkertaisesti forward-ketju. Koukku toteuttaa säännön, kun taas kytkimen portti on vain paikka, johon kaapeli päättyy. Koukun löytäminen on ensimmäinen päätös, koska kaikki muu on sijoittelua siihen nähden.

Ennen kuin katsot laitteistoa, kirjoita virta: kuka on lähde, minne se menee, mikä protokolla sitä kuljettaa ja mikä palvelu on sallittu. Etsi sitten valvonta, joka toteuttaa jokaisen näistä neljästä tosiasiasta.

Kaksi polkua, kaksi erilaista toteutustarinaa

Kaksi muotoa ovat yleisiä ja kumpikin voi olla oikea eri vaatimukselle.

endpoint -> shared inside subnet -> server
endpoint -> dedicated transit -> policy firewall -> server subnet

Ensimmäinen muoto voi toteuttaa kaiken tarvittavan yhdyskäytävällä, jos yhdyskäytävän käytäntö on kirjoitettu kyseiselle kohteelle eikä palvelimella ole kiertotietä. Toinen muoto lisää rajan, mutta vain jos reitit ja käytäntö todella ohjaavat liikenteen sen kautta. Samassa segmentissä päätepisteen kanssa oleva palvelin ei ehkä koskaan seuraa kuviteltua välipysäkkiä. Kaavio näyttää aikomuksen ja reititystaulu näyttää, mitä tapahtuu.

Varmista reittihaku, älä piirros. Liitäntä, josta paketti lähtee, ja valittu seuraava hyppy ratkaisevat, käyttäytyykö toinen muoto kuten suunniteltu.

ip route get 10.30.7.20
sudo iptables -S FORWARD
sudo tcpdump -ni inside0 host 10.30.7.20

Erota topologia eristyksestä

Yhteisen aliverkon jakaminen ei tee paikasta epäluotettavaa, eikä oma siirtoyhteys tee siitä suojattua. Ratkaisee tosiasiallisesti sovellettu rajoitus, tosiasiallinen välitys ja se, kuka hallinnoi kutakin osaa. Kytkimien laskeminen ei kerro mitään yhdestäkään kolmesta. Päätä käytännöstä ja reitistä ja anna topologian seurata päätöstä.

Käsittele myös liikenneryhmiä erikseen. Etäkäyttöaltaat, toimipaikka-toimipaikka-etuliitteet ja erillisverkkoyhteydet voivat jakaa yhden laitteen ja tarvita silti eri sääntöjä, koska niiden identiteetti ja riski eroavat. Yhdelle ryhmälle kirjoitettu sääntö kattaa hiljaisesti muut, kun ne jakavat osoitesuunnitelman.

Tarkista vika ja hallinta jokaiselle sijoittelulle

Jokaisella sijoittelulla on vikatila, ja hyödyllinen kysymys on, mikä vielä toimii, kun komponentti pysähtyy. Useat loogiset liitännät yhdessä kuolleessa laitteessa eivät anna riippumatonta palautumista, eikä saman syötön tai saman ylläpitäjän jakava alavirran palomuuri ole toinen raja. Kysy, missä hallintapolku kulkee, koska vain tunnelin kautta saavutettava konsoli ei ole lainkaan palautumispolku; ssh [email protected] true tunnelin ulkopuolelta on halvin tapa todistaa, ettei konsoli riipu siitä. Yhden alustan ryhmäkäytännön dokumentaatio asettaa suodattimensa liikenteelle salauksen purkamisen jälkeen ja ennen salausta, ja juuri sellainen nimetty koukku on etsittävä mistä tahansa tuotteesta.

Kirjoita jokaisen ehdokkaan vikatilatarina toteutustarinan viereen. Sijoittelu, joka voittaa tarkastuksessa ja häviää palautumisessa, on vaihtokauppa, ja se pitää kirjata sellaiseksi sen sijaan että se löydettäisiin kesken häiriön.

Hyväksy sallitulla ja estetyllä virralla

Hyväksytyllä testisuunnitelmalla tarkista kolme asiaa todellisesta VPN-lähteestä: sovellus, jonka pitäisi toimia, resurssi, jonka ei pitäisi, ja suunta, josta vastaus palaa. Estäminen on todiste siitä, että käytäntö on kytketty, kun taas sallittu virta todistaa vain, että polku on olemassa.

Säilytä valittu polku ja käytännön tulos yhdessä, koska tulosta ilman polkua ei voi toistaa eikä polkua ilman tulosta puolustaa. Se pari on paljon hyödyllisempi liitäntäpisteen valintaan kuin mikään väite siitä, mikä kytkentätaso on luonnostaan turvallisempi.