Teken it ûntsifere paad: wêr't in VPN-apparaat belied hanthavenet
In diagram dat by de fersifere listener stopt, lit it belied dat fan belang is net sjen. Teken it ûntsifere paad en fergelykje pleatsings nei wat it fersyk krúst.
Diagrammen fan leveransiers stopje meastentiids by de fersifere listener, om't dat it diel is mei in iepenbier adres. De fraach dy't de feiligensposysje beslist is wat der nei ûntsifering bart, as it pakket gewoane IP wurdt en alles berikke kin wat de rûteringstabel talit. As nimmen dat stik tekene hat, is der gjin eigner. It runbook hjirûnder tekenet it earst en fergeliket dêrnei pleatsings nei wat it ûntsifere fersyk eins krúst.
Teken it pakket nei ûntsifering, net derfoar
It bûtenpaad is it diel dat leveransiers dokumintearje: in iepenbier einpunt, in transportbelied dat de ferbining talit, en in tsjinst dy't it terminatet. It binnenpaad begjint op it stuit dat it pakket syn tunnelkop ferliest, en fan dêrôf wurdt it regele troch rûte- en filterregels dy't neat mei de tunnel te krijen hawwe. Set beide op deselde side, want in diagram mei allinnich it earste suggerearret dat talitting en autorisaasje ien beslút binne. Dat binne se net, en de kleau der tusken is dêr't de measte pleatsings misse.
Skriuw it binnenstik as in nûmere sekwinsje mei neamde apparaattypen yn stee fan as in pylk. In pylk ferberget oft it fersyk in filter krúst, en krúse of net krúse is de hiele fraach. Eltse sprong hjirûnder neamt it apparaat en de regelset dy't dêr aktyf is, sadat in ûntbrekkende filter as in gat ferskynt yn stee fan troch in line suggerearre te wurden.
- Fierste kliïnt: it brûkersapparaat dat de tunnel oanmakket.
- Rânbelied: de regelset dy't it bûtenste transport nei de iepenbiere listener talit.
- Terminating apparaat: it VPN-einpunt dat dekapsulearret en it pakket oan gewoane IP oerlanget.
- Binnenfilter: de trochstjoer- of feiligensgroepregelset dy't ferkear fan kliïnt nei tsjinst beheint.
- Applikaasjehost: de tsjinst dy't it ûntsifere fersyk ûntfangt.
Twa belied, twa eigners
It bûtenbelied beantwurdet wa't in tunnel meitsje mei, en it wurdt útdrukt yn 'e regels dy't it transport nei de terminale tsjinst talitte. It binnenbelied beantwurdet hokker tsjinst in autentisearre brûker berikke mei, en it libbet yn trochstjoerregels, feiligensgroepen of de applikaasje sels. Ien apparaat kin beide hâlde, en in ûntwerp mei ferskate apparaten hat noch altyd beide. Krekt it apart beneamen lit jo sizze hokker fan de twa mislearre doe't in brûker in applikaasje net berikke koe.
Talittingskontrôles lykas sertifikaten en multifaktor-autentikaasje beantwurdzje identiteit en neat oars. Se beslute net oer pleatsing en jouwe gjin tastimming per boarne as in brûker ienris binnen is.
Pleatsing beslist hokker grins it fersyk krúst
Trije pleatsings binne gewoan, en elk feroaret hokker grins it ûntsifere fersyk krúst. Fergelykje se nei wat dêr terminalet, wat platte tekst sjen kin, hokker kontrôle it fersyk noch wegere kin en wat mei it apparaat mislearret. De tabel hjirûnder brûkt dy fjouwer kolommen yn stee fan in algemiene fraach, om't elk antwurd in apart ûntwerpbeslút is.
| Placement | What terminates there | What sees plaintext | Which control can still deny | Failure domain |
|---|---|---|---|---|
| Termination in a dedicated segment | A dedicated VPN endpoint | The endpoint and anything on its segment | The filter between that segment and the application | The segment path can bypass the filter if no rule sits on it |
| Termination on the edge firewall | The firewall's public listener | The firewall, after decapsulation | The firewall's inner rule set | Admission and inspection fail together |
| Termination on the protected LAN | The appliance's LAN leg | Every host on the protected LAN | Only a host control or a downstream gateway | The appliance and the protected hosts fail together |
De tredde pleatsing is dejinge dy't hanthavening stilwei fuorthellet, om't in stik op it beskerme segmint it apparaat in direkte paad jout dat it diagram miskien net sjen lit. Undersykje ynterfaces en rûtes yn stee fan de foto: ip route get 10.20.5.10 meldt troch hokker ynterface it pakket fuortgean soe, en it antwurd is faak net dat wat it ûntwerp oannaam. De klassike fjoermuorre-rol om ferkear tusken postueren te kontrolearjen, sa't beskreaun ynNIST SP 800-41, is hjir in nuttige test, om't in apparaat mei in ûnbeheind stik nei it beskerme netwurk net folle kontrolearret. In rûtesyk is in earliker diagram as dat yn 'e presintaasje.
Administraasje heart op syn eigen eksplisyt tastiene paad. Brûkers in applikaasje berikke litte freget nea om har it kontrôle-ynterface fan it apparaat berikke te litten, en de twa tastimmings moatte fan ferskate regels jûn wurde. Audite beide paden apart, om't in dielde regel ferberget hokker iepene is.
Oersetting feroaret wat regels fierderop sjen kinne
Boarne-oersetting is handich en it ferneatiget ynformaasje. Nei masquerade liket eltse kliïnt it apparaat, dat in regel fierderop skreaun om brûkers te ûnderskieden kin dat net mear. It is net allinnich in logprobleem, it is in beliedsprobleem: in regel kaai op kliïntadres wurdt stilwei in regel kaai op 'e gateway. As belied per brûker fan belang is, behâld de boarne of hanthavenje it belied foar de oersetting.
It antwurdpaad fertsjinnet deselde kontrôle. Skriuw op hokker rûte de bestimming kiest foar it werom-pakket, om't in asymmetryske weromkear steatlike ynspeksje omgiet en in ferbining makket dy't him festiget en dan fêstrint. Beide rjochtingen moatte de grins krúse dy't jo tekene hawwe, oars is de grins fersiering.
sudo tcpdump -ni inside0 host 10.20.5.10
ip route get 10.20.5.10
sudo iptables -t nat -S POSTROUTINGAkseptearje in tastiene en in wegere operaasje
Test fan 'e echte fierste kliïnt yn stee fan fan in behearhost, om't de behearhost meastentiids sit dêr't de brûker nea wêze sil. Ien tastiene operaasje bewiist dat it paad wurket, en ien wegere operaasje bewiist dat it belied hielendal wat docht. Rin beide nei elke pleatsingsferoaring en skriuw de brûkte boarne-identiteit en bestimming op. In test dy't allinnich sukses bewiist, kin in korrekte regel net fan in ûntbrekkende ûnderskiede.
Test dan de gefallen dy't steat feroarje: in werferbining, in sesje dy't in kaairotasjon oerlibbet, en in flater fan it apparaat sels. Fergelykje bywurkingen, kapasiteit en werstel as ûnderdiel fan deselde yndieling, om't ien apparaat dat ferskate logyske kontrôles hâldt ien flaterdomein is mei ferskate labels. In twadde kast is ek net ûnôfhinklik as in dield administraasjebewiis of in ûnbeheinde rûte de grins ferslacht dy't it meitsje moast.
Dokumintearje it einpunt, it ûntsifere paad en de kontrôle dy't it beheint. Dy trije regels bliuwe sinfol hoe't de ymplemintaasje ek hjit.