Hoe't jo tagong tusken twa fia VPN ferbûne kantoaren beheine
In tunnel fan side nei side is gjin wjerssidich fertrouwen. Meitsje in matriks fan boarne, bestimming en tsjinst, twing dy ôf op ûntsifere ferkear en bewize ek in wegering.
In tunnel fan side nei side beantwurdet ien fraach, of de twa kantoaren pakketten útwikselje kinne, en lit de wichtige iepen: hokker filiaalapparaat hokker sintrale tsjinst berikke mei. De tunnel as wjerssidich fertrouwen behannelje is de manier wêrop in gastlaptop op itselde paad as de finansjele server bedarret. De oplossing is gjin bettere tunnel, mar in eksplisite tastienlist dy't nei ûntsifering tapast wurdt. Dizze hânlieding nimt dy list fan definysje nei in bewizen wegering.
Wurkje yn dizze folchoarder en ferbreedzje de tunnelrûte net ear't de beliedsstappen hjirûnder slagje.
Skriuw de matriks foardat jo de poarte oanreitsje
In nuttige rige neamt trije dingen: in boarnegroep, in bestimmingshost of tsjinstnetwurk, en it protokol en de poarte dy't de applikaasje echt brûkt. It filiaal en it datacenter binne gjin yngongen. Privee DNS en autentikaasjetsjinsten fertsjinje eigen rigen allinnich as de applikaasje sûnder har net wurkje kin.
Groepearje boarnen nei rol ynstee fan nei subnetgemak: personiel, gasten, behear. As alle trije ien flak LAN diele, kin de poarte har net op 'e netwurklaach ûnderskiede, dus identiteitskontrôles of segmintearring moatte earst komme. Set de matriks dan op skrift, mei in eigner en in resinsjedatum op elke rige.
| Boarne | Bestimming | Tsjinst | Beslút |
|---|---|---|---|
| filiaappersoniel | bookingapp 10.10.5.10 | TCP 443 | tastean op 'e ûntsiferjende poarte |
| filiaappersoniel | VLAN foar serverbehear | hokker dan ek | ymplisite wegering |
| gast-Wi-Fi | hokker sintraal berik dan ek | hokker dan ek | wegerje foar de tunnel |
| administraasje-springhost | server-VLAN | TCP 22 en 3389 | tastean mei MFA, hostfirewall fernauwet fierder |
Twing it ôf wêr't de pakketten ûntsifere wurde
De regels dy't IKE en ESP tastean, bouwe allinnich de bûtenste tunnel. Ynterne ferkear komt iepen oan op 'e tunnelinterface, en dêr heart de tastienlist: in trochstjoerkeatling op it ûntsiferjende apparaat, standert drip, ien regel per matriksrige. Op Linux-poarten betsjut dat trochstjoering oan en filterregels op it tunnelapparaat, net op 'e fysike ferbining, sa't de strongSwan-hânlieding foar trochstjoering it útlizze.
Ferkearsselekteurs binne in routingbeslút, gjin autorisaasjebeslút. In brede selekteur dy't beide subnets dekt, kin foar routing goed wêze wylst de firewall noch altyd allinnich TCP 443 nei ien host tastean. De selekteur wurdt foar de tunnel ûnderhannele en beskriuwt wat der yn komme mei, net wat in beskaat apparaat brûke mei. Ferbreedzje nea in firewallregel om't de selekteur breed is.
iptables -A FORWARD -i tun0 -s 10.20.0.0/24 -d 10.10.5.10 -p tcp --dport 443 -j ACCEPT
iptables -A FORWARD -i tun0 -j DROPNAT en oerlaapjende subnets feroarje de regels
As de filiaalpoarte elke host foar de tunnel nei ien adres fertaalt, falt elke boarnebene regle yn dat iene adres gear. Stopje dan mei it fertalen fan tunnelferkear, of akseptearje dat regels op eat oars berêste moatte, lykas it oarspronklike boarnealres dat foar de fertaling fêstlein is. De fiere kant hat itselde probleem, want de bestimmingshost sjocht it adres nei NAT en net it oarspronklike.
Oerlaapjende berikken binne de oare falstrik. Twa kantoaren dy't beide 192.168.1.0/24 brûke, kinne net yn ien beliedstabel beskreaun wurde sûnder ien kant te mappen, en in mapping ferfangt gjin adressearring dy't net botset. Reparearje it plan foardat jo regels skriuwe dy't jo letter wer losmeitsje moatte.
Bewize in wegering, net allinnich in súkses
Allinnich de tastiene applikaasje testen bewizet hiel lyts bytsje, want in tastienende regel earne boppeoan jout itselde resultaat.
Berik fan in gewoan filiaalapparaat de bedoelde tsjinst en befêstigje dat de hiele sesje wurket. Besykje dan in bestimming dy't ticht bliuwe moat, lykas in administratyve poarte op in server dêr't it filiaal neat mei te meitsjen hat, en lês de teller of logynskriuwing dy't it weilitten hat. It regelset útskeakelje om te sjen oft it wurket, makket de test ûnjildich en lit de poarte iepen wylst jo sjogge.
Hâld de list libben
Applikaasjes ferhúzje, en in regel dy't syn applikaasje oerlibbet, wurdt in gat dat nimmen besit. Keppelje de resinsjedatum oan 'e rige en feroarje it berik fan de selekteur en de firewallregel yn deselde ûnderhâldsstap as in tsjinst fan adres feroaret.
Beheiningen op hostnivo binne efter de tunnel noch wichtich: de eigen firewall fan 'e server moat it filiaalberik allinnich foar de tsjinst dy't er publisearret akseptearje. Twa lagen dy't oerienkomme, binne makliker te auditearjen as ien laach dy't folslein fertroud wurdt.