Tagong fan VPN nei VLAN: bou earst de matriks, dan de regels
Rollen oan ien kant, tsjinsten oan de oare. Fiif kontrôles meitsje fan in ûndúdlik ûntwerp foar tagong fan VPN nei VLAN in tabel dy't de eigenar fan de brânmuorre útfierje kin.
Begjin mei de matriks, net mei de syntaks fan de brânmuorre. In tabel mei rollen oan ien kant en tsjinsten oan de oare kin troch in eigenar fan in applikaasje neisjoen wurde, troch in eigenar fan feiligens beprate wurde en útfierd wurde troch wa't de gateway hat. Dy neisjen is goedkeaper as it debuggen fan regels dêr't nimmen it oer iens wurden is.
In oere skriuwen besparret letter in wike oan regels-archeology. It ûntwerp giet oer wa't by hokker tsjinst komt, en dat is it part dat fernûmering oerlibbet.
Stap 1: neam de rollen foar de netwurken
Begjin by de minsken, net by de switch. Skriuw elke groep op dy't op ôfstân ferbynt en de iene sin dy't beskriuwt wat dy groep docht, lykas magazynmeiwurkers dy't foarriednivo's lêze of in oannimmer dy't ien yntegraasje ûnderhâldt. As twa groepen deselde tagong krije soene, binne se foar dit doel ien rol.
Stop hjir as in rol allinnich bestiet fanwegen in organogram. In rol sûnder eigen tsjinstbehoefte wurdt in rige fan identike sellen, en identike rigen ferliede immen om letter foar it gemak in hiel subnet te jaan. Diel nei wat minsken dogge, net nei wa't harren útjeften ûndertekenet. Seis rollen is meastentiids te folle foar in lyts kantoar en trije is faak goed.
Stap 2: meitsje fan elke sel in tsjinstferklearring
In sel dêr't „Applikaasjes“ yn stiet is net te testen. In sel dêr't „HTTPS nei de ERP-host op 443, út 'e personielsgroep“ yn stiet is dat wol. Ferfang elke netwurknamme troch in bestimming, in protokol en in poarte, en foegje dan de ôfhinklikens ta sûnder wa't de tsjinst net wurket, lykas de ynterne resolver of de identiteitsferlienner.
| Check | Passes when | Stop if |
|---|---|---|
| Destination named | Host and port appear in the cell | Cell names a VLAN or a subnet |
| Direction stated | Initiator and responder are both clear | Cell implies two-way access |
| Dependency listed | DNS or identity path is explicit | Whole infrastructure range is granted |
| Negative case written | At least one denied pair is recorded | Only allow rules exist |
De rjochtingskolom fangt de djoerste flaters. Tastimming foar personiel om in applikaasje te iepenjen betsjut net dat applikaasjeservers ferbiningen werom nei de laptops fan it personiel iepenje meie, en in steatlike regel dy't de earste rjochting tastiet wurdt faak lêzen as in tastimming foar de twadde.
Stap 3: beslute wêr't identiteit belied wurdt
Immen moat in autentisearre sesje omsette yn in rol dy't de gateway hanthavenje kin. Stipe opsjes binne groepsbelied fan 'e autentikaasje-backend, fertroude sesje-attributen of aparte adresgroepen per rol. Alle trije wurkje; in label dat de klant stjoert net. Kies it meganisme dat jo gateway dokumintearret, net dat wat in forumberjocht beskriuwt.
In adres tawize dat der allinnich mar nei liket dat it by in VLAN heart is itselde net-antwurd yn in oar kostúm. De Netgate-gids oer OpenVPN-brânmuorrerregels makket de skieding dúdlik: tastean dat de tunnel omheech komt is in oar beslút as tastean dat ferkear der troch giet.
Skriuw op hokker meganisme jo keazen hawwe en wêr't it konfigurearre is. As in rol feroaret, is dy notysje it ferskil tusken ien bewurking en in jacht troch trije ynterfaces. It fertelt ek in auditor wêr't er earst sjen moat.
Stap 4: let op it boarne-adres dat de bestimming sjocht
It trochstjoerbelied moat by de grins by de echte boarne passe. As de gateway VPN-klanten oerset nei syn eigen adres, sjocht elke brânmuorre derûnder ien boarne en ferliest it fermogen om per rol te besluten. As er it klantadres bewarret, moat de weromwei foar dy groep bestean.
Test beide rjochtings foar't jo de definitive regels skriuwe, en notearje dan de waarnommen boarne njonken elke sel. Rin itselde kontrôle út twa ferskillende rollen en fergelykje it resultaat. As beide it gateway-adres sjen litte, is it ferskil tusken rollen al ferlern. In matriks dy't bewarre adressen ferûnderstelt wylst de gateway boarne-oersetting docht, falt by de earste ACL derûnder.
Stap 5: test elke sel foar't jo leverje
Meitsje fan elke tastiene sel ien represintative operaasje en fan elke wegere sel in negatyf gefal. Rin beide fan in klant yn 'e echte rol, net fan 'e gateway-konsole, want de konsole giet foarby it paad dat jo testen.
# allowed: staff role reaches the ERP endpoint
curl -sS -o /dev/null -w '%{http_code}\n' --max-time 5 https://erp.internal.example/health
# denied: the same role must not reach a management host
nc -vz -w 3 10.30.5.11 22
# observed source address at the destination
sudo tcpdump -ni any 'tcp port 443 and host 10.30.20.15'In negatyf gefal dat ferbynt is in befiniging, net in tafal, en it heart yn 'e matriks as in mislearre sel oant de regel reparearre is. Hâld de testopdrachten njonken de tabel sadat de folgjende beoardieler se op 'e nij rint ynstee fan 'e redenearring op 'e nij te bouwen.
De foltôge tabel libbet langer as de gateway dêr't er foar skreaun is. Regels feroarje mei firmware en leveransier, wylst de rige dy't seit dat in oannimmer ien projekttsjinst berikt wier bliuwt oant dat wurk feroaret.