Piirrä salauksen purun jälkeinen polku: missä VPN-laite valvoo käytäntöä
Kaavio, joka pysähtyy salattuun kuuntelijaan, ei näytä sitä käytäntöä, jolla on merkitystä. Piirrä purettu polku ja vertaa sijoituksia sen mukaan, mitä pyyntö ylittää.
Toimittajien kaaviot pysähtyvät yleensä salattuun kuuntelijaan, koska se on osa, jolla on julkinen osoite. Turva-asennon ratkaisee kysymys siitä, mitä tapahtuu salauksen purun jälkeen, kun paketista tulee tavallinen IP ja se voi tavoittaa kaiken, mihin reititystaulu antaa luvan. Jos kukaan ei piirtänyt tuota osuutta, kukaan ei omista sitä. Alla oleva runbook piirtää sen ensin ja vertaa sitten sijoituksia sen mukaan, mitä purettu pyyntö todella ylittää.
Piirrä paketti salauksen purun jälkeen, ei ennen
Ulompi polku on osa, jonka toimittajat dokumentoivat: julkinen päätepiste, liikennettä salliva siirtokäytäntö ja palvelu, joka päättää yhteyden. Sisempi polku alkaa hetkestä, jolloin paketti menettää tunnelin otsakkeen, ja siitä eteenpäin sitä ohjaavat reititys- ja suodatussäännöt, joilla ei ole mitään tekemistä tunnelin kanssa. Laita molemmat samalle sivulle, sillä kaavio, jossa on vain ensimmäinen, antaa ymmärtää, että hyväksyntä ja valtuutus ovat yksi päätös. Ne eivät ole, ja juuri niiden välisessä aukossa useimmat sijoitukset menevät pieleen.
Kirjoita sisempi osuus numeroituna sarjana, jossa on nimetyt laitetyypit, nuolen sijaan. Nuoli kätkee, ylittääkö pyyntö suodattimen, ja ylittäminen tai ylittämättä jääminen on koko kysymys. Jokainen alla oleva hyppy nimeää laitteen ja siinä toimivan sääntöjoukon, joten puuttuva suodatin näkyy aukkona eikä viivalla vihjattuna asiana.
- Etäasiakas: käyttäjän laite, joka luo tunnelin.
- Reunakäytäntö: sääntöjoukko, joka päästää ulomman siirron julkiseen kuuntelijaan.
- Päättävä laite: VPN-päätepiste, joka purkaa kapseloinnin ja luovuttaa paketin tavalliselle IP:lle.
- Sisempi suodatin: edelleenlähetys- tai tietoturvaryhmäsäännöstö, joka rajoittaa liikennettä asiakkaasta palveluun.
- Sovellusisäntä: palvelu, joka vastaanottaa puretun pyynnön.
Kaksi käytäntöä, kaksi omistajaa
Ulompi käytäntö vastaa siihen, kuka saa muodostaa tunnelin, ja se ilmaistaan säännöissä, jotka päästävät siirron päättävään palveluun. Sisempi käytäntö vastaa siihen, mihin palveluun todennettu käyttäjä saa päästä, ja se elää edelleenlähetyssäännöissä, tietoturvaryhmissä tai itse sovelluksessa. Yksi laite voi ylläpitää molempia, ja usean laitteen suunnittelussa on edelleen molemmat. Juuri erillinen nimeäminen mahdollistaa sen, että voit sanoa, kumpi petti, kun käyttäjä ei tavoita sovellusta.
Hyväksyntäkontrollit, kuten varmenteet ja monivaiheinen todentaminen, vastaavat identiteetistä eivätkä mistään muusta. Ne eivät ratkaise sijoitusta eivätkä myönnä resurssikohtaista lupaa, kun käyttäjä on sisällä.
Sijoitus ratkaisee, minkä rajan pyyntö ylittää
Kolme sijoitusta on yleisiä, ja kukin muuttaa sitä, minkä rajan purettu pyyntö ylittää. Vertaa niitä sen mukaan, mikä siellä päättyy, mikä voi nähdä selkokielisen sisällön, mikä kontrolli voi yhä hylätä pyynnön ja mikä pettää laitteen mukana. Alla oleva taulukko käyttää näitä neljää saraketta yleisen kysymyksen sijaan, koska jokainen vastaus on erillinen suunnittelupäätös.
| Placement | What terminates there | What sees plaintext | Which control can still deny | Failure domain |
|---|---|---|---|---|
| Termination in a dedicated segment | A dedicated VPN endpoint | The endpoint and anything on its segment | The filter between that segment and the application | The segment path can bypass the filter if no rule sits on it |
| Termination on the edge firewall | The firewall's public listener | The firewall, after decapsulation | The firewall's inner rule set | Admission and inspection fail together |
| Termination on the protected LAN | The appliance's LAN leg | Every host on the protected LAN | Only a host control or a downstream gateway | The appliance and the protected hosts fail together |
Kolmas sijoitus on se, joka poistaa valvonnan hiljaisesti, koska osuus suojatulla segmentillä antaa laitteelle suoran polun, jota kaavio ei ehkä näytä. Tutki rajapintoja ja reittejä kuvan sijaan: ip route get 10.20.5.10 kertoo, mitä rajapintaa paketti lähtisi, ja vastaus ei usein ole se, mitä suunnittelu oletti. Palomuurin klassinen rooli asennojen välisen liikenteen valvojana, kuten kuvattu julkaisussaNIST SP 800-41, on hyödyllinen testi tässä, koska laite, jolla on rajoittamaton osuus suojattuun verkkoon, ei juuri valvo mitään. Reittihaku on rehellisempi kaavio kuin esityksen kaavio.
Hallinta kuuluu omalle nimenomaisesti sallitulle polulleen. Käyttäjien salliminen tavoittaa sovellus ei koskaan vaadi, että he pääsevät laitteen hallintarajapintaan, ja molemmat luvat tulisi myöntää eri säännöistä. Tarkasta molemmat polut erikseen, koska jaettu sääntö kätkee, kumpi avattiin.
Käännös muuttaa sitä, mitä alemmat säännöt voivat nähdä
Lähteen käännös on kätevää ja tuhoaa tietoa. Masqueraden jälkeen jokainen asiakas näyttää laitteelta, joten alempi sääntö, joka kirjoitettiin erottamaan käyttäjiä, ei enää pysty siihen. Se ei ole vain lokitusongelma, se on käytäntöongelma: asiakkaan osoitteeseen avaimioitu sääntö muuttuu hiljaa yhdyskäytävään avaimioiduksi säännöksi. Jos käyttäjäkohtainen käytäntö on tärkeä, säilytä lähde tai valvo käytäntöä ennen käännöstä.
Vastauspolku ansaitsee saman tarkastelun. Kirjaa, minkä reitin kohde valitsee paluupaketille, koska epäsymmetrinen paluu ohittaa tilallisen tarkastuksen ja tuottaa yhteyden, joka muodostuu ja sitten juuttuu. Molempien suuntien on ylitettävä piirtämäsi raja, muuten raja on koriste.
sudo tcpdump -ni inside0 host 10.20.5.10
ip route get 10.20.5.10
sudo iptables -t nat -S POSTROUTINGHyväksy sallittu ja hylätty toiminto
Testaa todellisesta etäasiakkaasta, älä hallintaistännästä, koska hallintaistänsä istuu yleensä jossain, missä käyttäjä ei koskaan ole. Yksi sallittu toiminto todistaa, että polku toimii, ja yksi hylätty todistaa, että käytäntö ylipäätään tekee jotain. Aja molemmat jokaisen sijoitusmuutoksen jälkeen ja kirjaa käyttämäsi lähdeidentiteetti ja kohde. Testi, joka todistaa vain onnistumisen, ei erota oikeaa sääntöä puuttuvasta.
Testaa sitten tapaukset, jotka muuttavat tilaa: uudelleenyhdistäminen, avainten kierron yli elävä istunto ja itse laitteen vika. Vertaa päivityksiä, kapasiteettia ja palautumista osana samaa asettelua, koska yksi laite, joka pitää useita loogisia kontrolleja, on yksi vikavyöhyke, jolla on useita nimikkeitä. Toinen laatikko ei ole itsenäinen sekään, kun jaettu hallintatunnus tai rajoittamaton reitti kukistaa rajan, jonka se oli tarkoitus luoda.
Dokumentoi päätepiste, purettu polku ja sitä rajoittava kontrolli. Ne kolme riviä pysyvät merkityksellisinä riippumatta siitä, miksi toteutusta kutsutaan.