Nei ûntsifering: hokker belied sjocht jo VPN-ferkear earst

In VPN-stream kin perfekt fersifere wêze en perfekt autentisearre en dochs telâne komme dêr’t nimmen it pland hie. De kabel dy’t jo ynstekke bepaalt net hokker regel it binnenste pakket ferwurket; dat dogge de beliedshaak en de rûte. Dêrom kinne twa ûntwerpen dy’t op in racktekening gelyk lykje folslein ferskillende hanthavening hawwe. Kieze tusken harren begjint mei it neamen fan de kontrôle dy’t de ûntsifere stream earst sjocht.

Beslis troch de beliedshaak, net troch de poarte

Elk VPN-platfoarm evaluearret ûntsifere ferkear op in stuit foardat it trochstjoerd wurdt, en dat punt hat in namme yn de konfiguraasje. Op ien platfoarm is it in groepsbeliedsfilter, op in oar in ynterfacebelied of in sônepear, en op in router kin it gewoan de forward-ketting wêze. De haak hanthavet de regel, wylst de switchpoarte allinnich it plak is dêr’t de kabel einiget. De haak fine is it earste beslút, want al it oare is pleatsing yn ferhâlding ta him.

Foardat jo nei hardware sjogge, skriuw de stream op: wa’t de boarne is, wêr’t er hinne giet, hokker protokol him draacht en hokker tsjinst tastien is. Fyn dan de kontrôle dy’t elk fan dy fjouwer feiten hanthavet.

Twa wegen, twa ferskillende ferhalen oer hanthavening

Twa foarmen binne gewoan, en elk kin goed wêze foar in oare eask.

endpoint -> shared inside subnet -> server
endpoint -> dedicated transit -> policy firewall -> server subnet

De earste foarm kin alles wat nedich is by de gateway hanthavje, mits it gatewaybelied foar dat bestimming skreaun is en de tsjinner gjin wei om it hinne hat. De twadde foarm foeget in grins ta, mar allinnich as de rûtes en it belied it ferkear der wier trochhinne liede. In tsjinner op itselde segmint as it einpunt folget miskien nea de betochte tuskenhop. De tekening lit de bedoeling sjen, en de rûtetabel lit sjen wat der bart.

Ferifiearje mei in rûtesykjen ynstee fan mei de tekening. It ynterface dêr’t in pakket troch út giet, en de folgjende hop dy’t it kiest, beslisse oft de twadde foarm wurket sa’t er ûntwurpen is.

ip route get 10.30.7.20
sudo iptables -S FORWARD
sudo tcpdump -ni inside0 host 10.30.7.20

Skied topology fan isolaasje

It dielen fan in subnet makket in plak net ûnbetrouber, en in tawijde transyt makket it net beskerme. Wat beslisset is de beheining dy’t wier tapast wurdt, it trochstjoeren dat wier bart, en wa’t elk stik beheart. Switches telle seit neat oer ien fan de trije. Beslis út it belied en de rûte, en lit de topology it beslút folgje.

Behannelje ek ferkearsgroepen apart. Pools foar ôfstâns tagong, site-nei-site-prefiksen en netwurken fan partikuliere linen kinne ien apparaat diele en dochs ferskillende regels nedich hawwe, om’t har identiteit en risiko ferskille. In regel skreaun foar ien groep dekt de oaren stil, as se in adresplan diele.

Kontrolearje falen en behear foar elke pleatsing

Elke pleatsing hat in falmodus, en de nuttige fraach is wat noch wurket as in komponint stopet. Ferskate logyske ynterfaces op ien dea apparaat jouwe jo gjin ûnôfhinklike weromset, en in firewalls streamôf dy’t deselde macht of deselde behearder dielt is gjin twadde grins. Freegje wêr’t it behearspaad rint, want in console dy’t allinnich troch de tunnel te berikken is, is hielendal gjin weromsetpaad; ssh [email protected] true fan bûten de tunnel is de bêste manier om te bewizen dat de console dêr net fan ôfhinget. De dokumintaasje oer groepsbelied fan ien platfoarm pleatst syn filter op ferkear nei ûntsifering en foar fersifering, en dat is krekt it soarte neamde haak dat jo yn elk produkt sykje moatte.

Skriuw it falferhaal fan elke kandidaat njonken it hanthaveningsferhaal. In pleatsing dy’t wint op ynspeksje en ferliest op weromset is in ruil, en dat moat as sadanich fêstlein wurde ynstee fan ûntdutsen te wurden by in ynsidint.

Akseptearje mei in tastean en in wegere stream

Mei in goedkard testplan, kontrolearje trije dingen fan de echte VPN-boarne: in applikaasje dy’t wurkje moat, in boarne dy’t net moat, en de rjochting dêr’t it antwurd oer weromkomt. De wegering is it bewiis dat it belied aktyf is, wylst de tastiene stream allinnich bewiist dat der in paad is.

Bewarje it keazen paad en it resultaat fan it belied byinoar, want in resultaat sûnder paad kin net reprodusearre wurde en in paad sûnder resultaat kin net ferdigene wurde. Dat pear is folle nuttiger foar it kiezen fan in oansluitpunt as hokker bewearing dan ek oer hokker switchlaach fan natuere feiliger is.