Miten rajoittaa pääsyä kahden VPN-yhteydellä yhdistetyn toimiston välillä
Toimipisteiden välinen tunneli ei ole molemminpuolista luottamusta. Rakenna lähde-, kohde- ja palvelumatriisi, ota se käyttöön salauksen purkamisen jälkeen ja todista myös hylkäys.
Toimipisteiden välinen tunneli vastaa yhteen kysymykseen, voivatko kaksi toimistoa vaihtaa paketteja, ja jättää tärkeän avoimeksi: mikä sivuliikkeen laite saa saavuttaa minkä keskuspalvelun. Tunnelin pitäminen molemminpuolisena luottamuksena on se tapa, jolla vieraan kannettava päätyy samalle reitille kuin talouspalvelin. Ratkaisu ei ole parempi tunneli, vaan selkeä sallittujen luettelo, joka pannaan täytäntöön salauksen purkamisen jälkeen. Tämä ohje vie luettelon määritelmästä todennettuun hylkäykseen.
Työskentele tässä järjestyksessä äläkä laajenna tunnelin reittiä, ennen kuin alla olevat käytännön vaiheet menevät läpi.
Kirjoita matriisi ennen kuin kosket yhdyskäytävään
Hyödyllinen rivi nimeää kolme asiaa: lähderyhmän, kohdeisäntä tai palveluverkko sekä protokolla ja portti, jota sovellus todella käyttää. Sivuliike ja datakeskus eivät ole merkintöjä. Yksityinen DNS ja todennuspalvelut ansaitsevat omat rivinsä vain silloin, kun sovellus ei voi toimia ilman niitä.
Ryhmittele lähteet roolin mukaan, ei aliverkon mukavuuden mukaan: henkilöstö, vieraat, hallinto. Kun kaikki kolme jakavat yhden litteän LANin, yhdyskäytävä ei voi erottaa niitä verkkokerroksella, joten identiteetin hallinnan tai segmentoinnin on tultava ensin. Kirjaa matriisi sitten kirjallisesti, ja laita joka riville omistaja ja tarkistuspäivä.
| Lähde | Kohde | Palvelu | Päätös |
|---|---|---|---|
| sivuliikkeen henkilöstö | varaussovellus 10.10.5.10 | TCP 443 | salli salauksen purkavalla yhdyskäytävällä |
| sivuliikkeen henkilöstö | palvelinten hallinnan VLAN | mikä tahansa | implisiittinen hylkäys |
| vieras-Wi-Fi | mikä tahansa keskitetty alue | mikä tahansa | hylkää ennen tunnelia |
| hallinnollinen hyppyisäntä | palvelinten VLAN | TCP 22 ja 3389 | salli MFA:lla, isännän palomuuri kaventaa edelleen |
Pane täytäntöön siellä, missä paketit puretaan
Säännöt, jotka sallivat IKE:n ja ESP:n, rakentavat vain ulomman tunnelin. Sisäinen liikenne saapuu selvänä tunneliliittymälle, ja sinne sallittujen luettelo kuuluu: edelleenlähetysketju salauksen purkavalla laitteella, oletushylkäys, yksi sääntö matriisin riviä kohden. Linux-yhdyskäytävissä se tarkoittaa, että edelleenlähetys on päällä ja suodatussäännöt ovat tunnelilaitteella eikä fyysisellä yhteydellä, kuten strongSwanin edelleenlähetysopas selittää.
Liikenteen valitsimet ovat reitityspäätös, ei valtuutuspäätös. Laaja valitsin, joka kattaa molemmat aliverkot, voi olla reitityksen kannalta oikein, vaikka palomuuri sallii edelleen vain TCP 443:n yhteen isäntään. Valitsin neuvotellaan tunnelille ja kuvaa, mitä siihen saa tulla, ei sitä, mitä jokin laite saa käyttää. Älä koskaan laajenna palomuurisääntöä siksi, että valitsin on laaja.
iptables -A FORWARD -i tun0 -s 10.20.0.0/24 -d 10.10.5.10 -p tcp --dport 443 -j ACCEPT
iptables -A FORWARD -i tun0 -j DROPNAT ja päällekkäiset aliverkot muuttavat sääntöjä
Kun sivuliikkeen yhdyskäytävä kääntää jokaisen isännän yhdeksi osoitteeksi ennen tunnelia, jokainen lähdeperusteinen rivi romahtaa tuohon yhteen osoitteeseen. Joko lopeta tunneliliikenteen kääntäminen tai hyväksy, että sääntöjen on perustuttava johonkin muuhun, kuten alkuperäiseen lähdeosoitteeseen, joka kirjattiin ennen käännöstä. Kaukopäässä on sama ongelma, koska kohdeisäntä näkee NATin jälkeisen osoitteen eikä alkuperäistä.
Päällekkäiset alueet ovat toinen ansa. Kahta toimistoa, jotka molemmat käyttävät 192.168.1.0/24:ää, ei voi kuvata yhdessä käytäntötaulukossa kartoittamatta toista puolta, eikä kartoitus korvaa osoitteistusta, joka ei törmää. Korjaa suunnitelma ennen kuin kirjoitat säännöt, jotka joudut purkamaan myöhemmin.
Todista hylkäys, ei vain onnistuminen
Vain sallitun sovelluksen testaaminen todistaa hyvin vähän, koska salliva sääntö jossakin ylempänä tuottaa saman tuloksen.
Saavuta tavalliselta sivuliikkeen laitteelta aiottu palvelu ja varmista, että koko istunto toimii. Kokeile sitten kohdetta, jonka on pysyttävä suljettuna, kuten hallinnollinen portti palvelimella, jolla ei ole sivuliikkeen kanssa mitään tekemistä, ja lue laskuri tai lokimerkintä, joka hylkäsi sen. Sääntöjoukon poistaminen käytöstä sen toimivuuden tarkistamiseksi mitätöi testin ja jättää yhdyskäytävän auki katsellessasi.
Pidä luettelo elävänä
Sovellukset liikkuvat, ja sääntö, joka elää sovellustaan pidempään, muuttuu aukoksi, jota kukaan ei omista. Liitä tarkistuspäivä riviin ja muuta valitsimen laajuus ja palomuurisääntö samassa huoltovaiheessa, kun palvelu vaihtaa osoitetta.
Isäntätason rajoitukset ovat yhä tärkeitä tunnelin takana: palvelimen oma palomuuri saa hyväksyä sivuliikkeen alueen vain palvelulle, jonka se julkaisee. Kaksi yhteensopivaa kerrosta on helpompi auditoida kuin yksi kerros, johon luotetaan täysin.