Tarraing an cosán díchriptithe: cá gcuireann fearas VPN polasaí i bhfeidhm
Ní thaispeánann léaráid a stopann ag an éisteoir criptithe an polasaí a bhfuil tábhacht leis. Tarraing an cosán díchriptithe, ansin cuir na suíomhanna i gcomparáid de réir an rud a thrasnaíonn an t-iarratas.
Stopann léaráidí soláthraithe de ghnáth ag an éisteoir criptithe, mar sin é an chuid a bhfuil seoladh poiblí aici. Is é an cheist a shocraíonn an dearcadh slándála ná cad a tharlaíonn tar éis díchriptithe, nuair a thagann an paicéad chun bheith ina IP choitianta agus nuair is féidir leis gach rud a shroicheann an tábla ródaithe. Mura ndearna duine ar bith an chos sin a tharraingt, níl úinéir uirthi. Tarraingíonn an runbook thíos í ar dtús agus ansin cuireann sé suíomhanna i gcomparáid de réir an rud a thrasnaíonn an t-iarratas díchriptithe i ndáiríre.
Tarraing an paicéad tar éis díchriptithe, ní roimhe
Is é an cosán seachtrach an chuid a dhoiciméadíonn soláthraithe: críochphointe poiblí, polasaí iompair a ligean isteach an nasc, agus seirbhís a chríochnaíonn é. Tosaíonn an cosán inmheánach an nóiméad a chailleann an paicéad a cheannteideal tolláin, agus as sin rialaíonn rialacha ródaithe agus scagtha é nach bhfuil aon bhaint acu leis an tollán. Cuir an dá rud ar an leathanach céanna, mar sin tugann léaráid nach bhfuil inti ach an chéad cheann le tuiscint gur aon chinneadh amháin é ligean isteach agus údarú. Ní hea, agus is sa bhearna eatarthu a théann an chuid is mó de na suíomhanna amú.
Scríobh an chos inmheánach mar sheicheamh uimhrithe le cineálacha feiste ainmnithe seach mar shaighead. Folaíonn saighead an dtrasnaíonn an t-iarratas scagaire nó nach dtrasnaíonn, agus is é trasnú nó gan trasnú an cheist ar fad. Ainmníonn gach léim thíos an fheiste agus an tsraith rialacha a ghníomhaíonn ansin, mar sin tagann scagaire atá ar iarraidh chun solais mar bhearna seach a bheith le tuiscint ó líne.
- Cliant cianda: an fheiste úsáideora a chruthaíonn an tollán.
- Polasaí imealla: an tsraith rialacha a ligean isteach an t-iompar seachtrach chuig an éisteoir poiblí.
- Fearas críochnaitheach: críochphointe VPN a dhíchuachann agus a thugann an paicéad d'IP choitianta.
- Scagaire inmheánach: an tsraith rialacha seolta ar aghaidh nó grúpaí slándála a theorannaíonn trácht ó chliant go seirbhís.
- Óstach feidhmchláir: an tseirbhís a fhaigheann an t-iarratas díchriptithe.
Dhá pholasaí, beirt úinéirí
Freagraíonn an polasaí seachtrach cé a fhéadann tollán a bhunú, agus cuirtear in iúl é sna rialacha a ligean isteach an t-iompar chuig an tseirbhís chríochnaitheach. Freagraíonn an polasaí inmheánach cén tseirbhís ar féidir le húsáideoir fíordheimhnithe í a shroicheadh, agus maireann sé i rialacha seolta ar aghaidh, i ngrúpaí slándála nó sa fheidhmchlár féin. Is féidir le feiste amháin an dá rud a óstáil, agus tá an dá rud fós ag dearadh le feistí iolracha. Is é a n-ainmniú ar leithligh a ligeann duit a rá cé acu a theip nuair nach féidir le húsáideoir feidhmchlár a shroicheadh.
Freagraíonn rialuithe ligean isteach ar nós teastais agus fíordheimhniú ilfhachtóir ar an bhféiniúlacht agus ar rud ar bith eile. Ní shocraíonn siad suíomh, agus ní thugann siad cead de réir acmhainne nuair a bhíonn úsáideoir istigh.
Socraíonn an suíomh cén teorainn a thrasnaíonn an t-iarratas
Tá trí shuíomh coitianta, agus athraíonn gach ceann cén teorainn a thrasnaíonn an t-iarratas díchriptithe. Cuir iad i gcomparáid de réir an rud a chríochnaíonn ansin, an rud a fheiceann téacs lom, cén riail a fhéadann an t-iarratas a dhiúltú fós, agus an rud a theipeann leis an bhfeiste. Úsáideann an tábla thíos na ceithre cholún sin seach ceist ghinearálta, mar is cinneadh dearaidh ar leith gach freagra.
| Placement | What terminates there | What sees plaintext | Which control can still deny | Failure domain |
|---|---|---|---|---|
| Termination in a dedicated segment | A dedicated VPN endpoint | The endpoint and anything on its segment | The filter between that segment and the application | The segment path can bypass the filter if no rule sits on it |
| Termination on the edge firewall | The firewall's public listener | The firewall, after decapsulation | The firewall's inner rule set | Admission and inspection fail together |
| Termination on the protected LAN | The appliance's LAN leg | Every host on the protected LAN | Only a host control or a downstream gateway | The appliance and the protected hosts fail together |
Is é an tríú suíomh an ceann a bhaineann an forfheidhmiú amach go ciúin, mar tugann cos ar an deighleog chosanta cosán díreach don fheiste nach léiríonn an léaráid b'fhéidir. Scrúdaigh na comhéadain agus na róid seach an pictiúr: tuairiscíonn ip route get 10.20.5.10 cén comhéadan a d'fhágfadh an paicéad, agus go minic ní hé an freagra an ceann a ghlac an dearadh leis. Tá ról clasaiceach an bhalla dóiteáin maidir le trácht a rialú idir staideanna, mar a thuairiscítear inNIST SP 800-41, ina thriail úsáideach anseo, mar ní rialaíonn feiste a bhfuil cos gan srian aici chuig an líonra cosanta mórán. Is léaráid níos macánta é cuardach róid ná an ceann atá sa chur i láthair.
Baineann riarachán lena chosán féin atá ceadaithe go sainráite. Ní éilíonn ligean d'úsáideoirí feidhmchlár a shroicheadh riamh ligean dóibh comhéadan rialaithe an fhearais a shroicheadh, agus ba chóir an dá chead a thabhairt ó rialacha éagsúla. Déan iniúchadh ar an dá chosán ar leithligh, mar folaíonn riail chomhroinnte cé acu a osclaíodh.
Athraíonn aistriúchán an rud is féidir le rialacha níos faide síos a fheiceáil
Tá aistriúchán foinse áisiúil agus scriosann sé faisnéis. Tar éis masquerade breathnaíonn gach cliant cosúil leis an bhfeiste, mar sin ní féidir le riail níos faide síos a scríobhadh chun úsáideoirí a idirdhealú é sin a dhéanamh a thuilleadh. Ní fadhb logála amháin í seo, is fadhb polasaí í: tagann riail atá bunaithe ar sheoladh cliaint chun bheith ina riail atá bunaithe ar an ngeata go ciúin. Má tá tábhacht le polasaí de réir úsáideora, caomhnaigh an fhoinse nó cuir an polasaí i bhfeidhm roimh an aistriúchán.
Tá an chosán freagartha tuillte ag an scrúdú céanna. Taifead cén ród a roghnaíonn an ceann scríbe don phaicéad fillte, mar seachnaíonn filleadh neamhshiméadrach iniúchadh staideach agus cruthaíonn sé nasc a bhunaítear agus a stopann ansin. Caithfidh an dá threo an teorainn a thrasnaíonn a thrasnú, nó is maisiú í an teorainn.
sudo tcpdump -ni inside0 host 10.20.5.10
ip route get 10.20.5.10
sudo iptables -t nat -S POSTROUTINGGlac le hoibríocht cheadaithe agus ceann diúltaithe
Tástáil ón bhfíor-chliant cianda seach ó óstach bainistíochta, mar is iondúil go suíonn an t-óstach bainistíochta áit nach mbeidh an t-úsáideoir riamh. Cruthaíonn oibríocht cheadaithe amháin go n-oibríonn an cosán, agus cruthaíonn oibríocht dhiúltaithe amháin go bhfuil an polasaí ag déanamh rud éigin ar chor ar bith. Rith an dá rud tar éis gach athraithe suímh, agus taifead an fhéiniúlacht foinse agus an ceann scríbe a d'úsáid tú. Ní féidir le tástáil nach gcruthaíonn ach rath riail cheart a idirdhealú ó riail atá ar iarraidh.
Ansin tástáil na cásanna a athraíonn staid: athnascadh, seisiún a mhaireann thar rothlú eochrach, agus teip na feiste féin. Cuir nuashonruithe, cumas agus téarnamh i gcomparáid mar chuid den leagan amach céanna, mar is aon fhearann teipe é feiste amháin a choinníonn roinnt rialuithe loighciúla, agus lipéid éagsúla air. Níl an dara bosca neamhspleách ach an oiread nuair a sháraíonn dintiúir riaracháin chomhroinnte nó ród gan srian an teorainn a bhí le cruthú aige.
Déan doiciméadú ar an gcríochphointe, ar an gcosán díchriptithe agus ar an riail a theorannaíonn é. Fanann na trí líne sin bríoch cibé ainm a thugtar ar an gcur i bhfeidhm.