Samun damar VPN zuwa VLAN: fara da jadawali, sannan dokoki
Matsayi a gefe ɗaya, ayyuka a ɗaya. Bincike biyar suna mai da tsarin da ba shi da tabbas na samun damar VPN zuwa VLAN jadawalin da mai kula da katangar wuta zai iya aiwatarwa.
Fara da jadawalin, ba da rubutun katangar wuta ba. Jadawalin da matsayi a gefe ɗaya da ayyuka a ɗaya, mai kula da manhaja zai iya duba shi, mai kula da tsaro zai iya muhawara a kansa, kuma duk wanda ke riƙe da ƙofa zai iya aiwatar da shi. Wannan bita ya fi sauƙi fiye da gyara dokokin da babu wanda ya amince da su.
Awa ɗaya na rubuta shi yana ceton mako ɗaya na tono dokoki daga baya. Tsarin yana magana ne a kan wanda zai isa wace hidima, kuma wannan shi ne ɓangaren da ke jure sake lambobi.
Mataki 1: ambaci matsayai kafin cibiyoyin sadarwa
Fara daga mutane, ba daga na'urar daidaitawa ba. Rubuta kowane rukuni da ke haɗuwa daga nesa da kuma jumla ɗaya da ke bayanin abin da rukunin ke yi, kamar ma'aikatan ɗakin ajiya da ke karanta matakan kaya ko ɗan kwangila da ke kula da haɗin kai ɗaya. Idan ƙungiyoyi biyu za su sami dama iri ɗaya, matsayi ɗaya ne a gare su don wannan manufa.
Tsaya a nan idan matsayi yana nan ne kawai saboda tsarin ofis. Matsayin da ba shi da buƙatar hidima ta musamman yakan zama jeri na ƙwayoyin da suka yi daidai, kuma jerin da suka yi daidai suna sa wani ya ba da dukan yanki na cibiyar sadarwa daga baya don sauƙi. Raba bisa abin da mutane suke yi, ba bisa wanda ke sanya hannu kan kuɗinsu ba. Matsayai shida yawanci sun fi yawa ga ƙaramin ofis kuma uku yakan dace.
Mataki 2: mai da kowane ƙwaya bayanin hidima
Ƙwaya da ke cewa „Manhajoji“ ba za a iya gwada ta ba. Ƙwaya da ke cewa „HTTPS zuwa uwar garken ERP a 443, daga rukunin ma'aikata“ za a iya gwada ta. Sauya kowane sunan cibiyar sadarwa da manufa, ka'ida da tashar jiragen ruwa, sannan ƙara dogaron da hidimar ba za ta iya aiki ba tare da shi, kamar mai warware sunaye na ciki ko mai bayar da asali.
| Check | Passes when | Stop if |
|---|---|---|
| Destination named | Host and port appear in the cell | Cell names a VLAN or a subnet |
| Direction stated | Initiator and responder are both clear | Cell implies two-way access |
| Dependency listed | DNS or identity path is explicit | Whole infrastructure range is granted |
| Negative case written | At least one denied pair is recorded | Only allow rules exist |
Rukunin jagoranci yana kama mafi tsadar kurakurai. Izinin da ma'aikata su buɗe manhaja ba ya nufin izinin da uwar garken manhaja za su buɗe haɗin kai zuwa kwamfutocin tafi-da-gidanka na ma'aikata, kuma dokar da ke da yanayi da ke ba da izinin jagorancin farko ana karanta ta a matsayin izini ga na biyu.
Mataki 3: yanke shawara inda asali ya zama manufa
Dole ne wani ya mai da zamani da aka tabbatar zuwa matsayin da ƙofar za ta iya tilastawa. Zaɓuɓɓukan da aka goyi bayan sun haɗa da manufar rukuni da bayanan tabbatarwa ke bayarwa, halayen zamanin da aka amince da su, ko wuraren adireshi daban don kowane matsayi. Dukan ukun suna aiki; alamar da abokin ciniki ke aikawa ba ta aiki. Zaɓi hanyar da ƙofarka ke rubutawa, ba wadda wani rubutu a dandalin tattaunawa ya bayyana ba.
Bayar da adireshin da kawai ya yi kama da na VLAN shi ne wannan rashin amsa a wata riga. Jagorar Netgate kan dokokin katangar wutar OpenVPN tana bayyana rabuwar a fili: barin ramin ya tashi shawara ce daban da barin zirga-zirga ya ratsa cikinsa.
Rubuta wace hanya ka zaɓa da inda aka daidaita ta. Lokacin da matsayi ya canja, wannan bayanin shi ne bambanci tsakanin gyara ɗaya da farauta a cikin mu'amala uku. Yana kuma gaya wa mai bincike inda zai fara duba.
Mataki 4: lura da adireshin tushe da manufar ke gani
Manufar tura dole ta dace da ainihin tushe a kan iyaka. Idan ƙofar tana fassara abokan cinikin VPN zuwa adireshinta, kowace katangar wuta da ke ƙasa tana ganin tushe ɗaya kuma tana rasa ikon yanke shawara bisa matsayi. Idan tana kiyaye adireshin abokin ciniki, dole hanyar dawowa ta kasance ga wannan rukuni.
Gwada dukkan jagororin biyu kafin rubuta dokokin ƙarshe, sannan rubuta tushen da aka gani kusa da kowane ƙwaya. Gudanar da wannan binciken daga matsayai biyu daban-daban ka kwatanta sakamakon. Idan duka biyun sun nuna adireshin ƙofar, an riga an rasa bambancin matsayi. Jadawalin da ke ɗauka an kiyaye adireshi yayin da ƙofar ke fassara tushe zai faɗi a ACL na farko da ke ƙasa.
Mataki 5: gwada kowane ƙwaya kafin fitarwa
Mai da kowace ƙwaya da aka yarda zuwa aiki ɗaya na wakilci, kuma kowace ƙwaya da aka hana zuwa yanayi mara kyau. Gudanar da duka biyun daga abokin ciniki a ainihin matsayi, ba daga na'urar kula da ƙofar ba, domin na'urar tana tsallake hanyar da kake gwadawa.
# allowed: staff role reaches the ERP endpoint
curl -sS -o /dev/null -w '%{http_code}\n' --max-time 5 https://erp.internal.example/health
# denied: the same role must not reach a management host
nc -vz -w 3 10.30.5.11 22
# observed source address at the destination
sudo tcpdump -ni any 'tcp port 443 and host 10.30.20.15'Yanayi mara kyau da ya haɗu abu ne da aka gano, ba daidaituwa ba, kuma wurinsa a cikin jadawalin a matsayin ƙwaya da ta kasa har sai an gyara dokar. Ka ajiye umarnin gwajin kusa da jadawalin domin mai bita na gaba ya sake gudanar da su maimakon sake gina hujja.
Jadawalin da aka gama yana rayuwa fiye da ƙofar da aka rubuta shi dominta. Dokoki suna canzawa tare da firmware da mai kaya, yayin da jeren da ke cewa ɗan kwangila ya isa hidimar aiki ɗaya ya kasance gaskiya har sai aikin ya canja.