Rochtain VPN go VLAN: tóg an mhaitrís roimh na rialacha
Róil ar thaobh amháin, seirbhísí ar an taobh eile. Casann cúig sheiceáil dearadh doiléir ar rochtain VPN go VLAN ina thábla ar féidir le húinéir an bhalla dhóite é a chur i bhfeidhm.
Tosaigh leis an mhaitrís, ní le comhréir an bhalla dhóite. Is féidir tábla a bhfuil róil ar thaobh amháin de agus seirbhísí ar an taobh eile a athbhreithniú ag úinéir feidhmchláir, a phlé ag úinéir slándála agus a chur i bhfeidhm ag aon duine a bhfuil an geata aige. Tá an t-athbhreithniú sin níos saoire ná dífhabhtú rialacha nár aontaigh aon duine leo.
Sábhálann uair an chloig de scríbhneoireacht seachtain d'seandálaíocht rialacha níos déanaí. Labhraíonn an dearadh faoi cé a shroicheann cé acu seirbhís, agus sin an chuid a mhaireann tar éis athuimhrithe.
Céim 1: ainmnigh na róil roimh na líonraí
Tosaigh leis na daoine, ní leis an lasc. Scríobh síos gach grúpa a nascann go cianda agus an aon abairt a chuireann síos ar a ndéanann an grúpa sin, mar shampla foireann stórais ag léamh leibhéil stoic nó conraitheoir ag cothabháil aon chomhtháthú amháin. Má gheobhadh dhá ghrúpa an rochtain chéanna, is aon ról iad chun an chríche seo.
Stad anseo má tá ról ann ach de bharr cairt eagraíochta. Éiríonn ról gan riachtanas seirbhíse ar leith ina ríomh de chealla comhionanna, agus meallann ríomhanna comhionanna duine éigin fotheang mhór ar fad a bhronnadh níos déanaí ar mhaithe le háis. Roinn de réir a ndéanann daoine, ní de réir cé a shíníonn a gcuid costas. Bíonn sé ról go minic iomarca do mhionoifig agus bíonn trí cinn ceart go minic.
Céim 2: iompaigh gach cill ina ráiteas seirbhíse
Ní féidir cill a deir «Feidhmchláir» a thástáil. Is féidir cill a deir «HTTPS chuig óstach ERP ar 443, ó phobal na foirne» a thástáil. Cuir ceann scríbe, prótacal agus port in ionad gach ainm líonra, ansin cuir leis an spleáchas nach féidir leis an tseirbhís oibriú gan é, mar an réiteoir inmheánach nó an soláthraí aitheantais.
| Check | Passes when | Stop if |
|---|---|---|
| Destination named | Host and port appear in the cell | Cell names a VLAN or a subnet |
| Direction stated | Initiator and responder are both clear | Cell implies two-way access |
| Dependency listed | DNS or identity path is explicit | Whole infrastructure range is granted |
| Negative case written | At least one denied pair is recorded | Only allow rules exist |
Gabhtar na botúin is daoire sa cholún treorach. Ní hionann cead don fhoireann feidhmchlár a oscailt agus cead do na freastalaithe feidhmchláir naisc a oscailt ar ais chuig ríomhairí glúine na foirne, agus is minic a léitear riail stáit a cheadaíonn an chéad treo amhail is dá gceadódh sí an dara ceann.
Céim 3: socraigh cá n-éiríonn aitheantas ina pholasaí
Caithfidh duine éigin seisiún fíordheimhnithe a iompú ina ról ar féidir leis an ngeata a fhorfheidhmiú. I measc na roghanna a fhaightear tá polasaí grúpa a sholáthraíonn an chúlsheirbhís fhíordheimhnithe, tréithe seisiúin iontaofa, nó pobal seoltaí ar leith do gach ról. Oibríonn an triúr; ní oibríonn lipéad a sheolann an cliant. Roghnaigh an tsásra atá doiciméadaithe ag do gheata, ní an ceann a chuireann post fóraim síos.
Is é an rud céanna é seoladh a shannadh nach bhfuil ann ach cosúil le bheith ag baint le VLAN, ach i gcóirithe eile. Déanann treoir Netgate ar rialacha balla dóite OpenVPN an scaradh soiléir: is cinneadh difriúil é ligean don tollán éirí aníos ná ligean don trácht dul tríd.
Scríobh síos cén tsásra a roghnaigh tú agus cá bhfuil sé cumraithe. Nuair a athraíonn ról, is é an nóta sin an difríocht idir aon eagarthóireacht amháin agus tóraíocht trí chomhéadan. Insíonn sé d'iniúchóir freisin cá hamharc ar dtús.
Céim 4: breathnaigh an seoladh foinse a fheiceann an ceann scríbe
Caithfidh an polasaí seolta a bheith ag teacht leis an bhfíorfhoinse ag an teorainn. Má dhéanann an geata cliaint VPN a aistriú go dtí a sheoladh féin, feiceann gach balla dóite thíos an t-aon fhoinse amháin agus cailleann sé an cumas cinntí a dhéanamh de réir róil. Má choinníonn sé seoladh an chliaint, caithfidh an bealach fillte a bheith ann don phobal sin.
Tástáil an dá threo sula scríobhann tú na rialacha deiridh, ansin taifead an fhoinse a breathnaíodh in aice le gach cill. Rith an tseiceáil chéanna ó dhá ról éagsúla agus cuir an toradh i gcomparáid. Má thaispeánann an dá cheann seoladh an gheata, tá idirdhealú na ról caillte cheana féin. Teipeann ar mhaitrís a ghlacann le seoltaí caomhnaithe agus an geata ag déanamh aistriúcháin foinse ag an gcéad ACL thíos.
Céim 5: tástáil gach cill sula seolann tú ar aghaidh í
Iompaigh gach cill cheadaithe ina haon oibríocht ionadaíoch agus gach cill diúltaithe ina cás diúltach. Rith an dá cheann ó chliant sa ról iarbhír, ní ó chonsól an gheata, mar seachnaíonn an chonsól an bealach atá á thástáil agat.
# allowed: staff role reaches the ERP endpoint
curl -sS -o /dev/null -w '%{http_code}\n' --max-time 5 https://erp.internal.example/health
# denied: the same role must not reach a management host
nc -vz -w 3 10.30.5.11 22
# observed source address at the destination
sudo tcpdump -ni any 'tcp port 443 and host 10.30.20.15'Is fionnachtain é cás diúltach a nascann, ní timpiste, agus baineann a áit sa mhaitrís mar chill theipthe go dtí go gceartaítear an riail. Coinnigh na horduithe tástála in aice leis an tábla ionas go ritheann an chéad athbhreithneoir eile iad in ionad an réasúnaíocht a atógáil.
Maireann an tábla críochnaithe níos faide ná an geata ar scríobhadh é dó. Athraíonn rialacha le firmware agus le soláthraí, ach fanann an ríomh a deir go sroicheann conraitheoir aon tseirbhís tionscadail amháin fíor go dtí go n-athraíonn an obair sin.