אחרי הפענוח: איזו מדיניות רואה את תעבורת ה-VPN שלך ראשונה

זרימת VPN יכולה להיות מוצפנת היטב ומאומתת היטב ובכל זאת לנחות במקום שאיש לא תכנן. הכבל שאתם מחברים אינו קובע איזה כלל מעבד את החבילה הפנימית; וו המדיניות והנתיב קובעים זאת. לכן שני עיצובים שנראים זהים בתרשים מתלה יכולים לקבל אכיפה שונה לחלוטין. הבחירה ביניהם מתחילה במתן שם לבקרה שרואה את הזרימה המפוענחת ראשונה.

החליטו לפי וו המדיניות, לא לפי הפורט

כל פלטפורמת VPN מעריכה תעבורה מפוענחת בשלב כלשהו לפני שהיא מעבירה אותה, ולשלב הזה יש שם בהגדרות. בפלטפורמה אחת זהו מסנן מדיניות קבוצתית, באחרת מדיניות ממשק או זוג אזורים, ובמכשיר שמנתב זה עשוי להיות פשוט שרשרת forward. הוו הוא מה שאוכף את הכלל, בעוד שפורט המתג הוא רק המקום שבו הכבל מסתיים. מציאת הוו היא ההחלטה הראשונה, כי כל השאר הוא מיקום ביחס אליו.

לפני שתסתכלו על חומרה, כתבו את הזרימה: מי המקור, לאן היא הולכת, איזה פרוטוקול נושא אותה ואיזה שירות מותר. אחר כך מצאו את הבקרה שאוכפת כל אחת מארבע העובדות האלה.

שני נתיבים, שני סיפורי אכיפה

שני צורות נפוצות, וכל אחת יכולה להיות נכונה לדרישה אחרת.

endpoint -> shared inside subnet -> server
endpoint -> dedicated transit -> policy firewall -> server subnet

הצורה הראשונה יכולה לאכוף את כל הנדרש בשער, בתנאי שהמדיניות נכתבה ליעד הזה ולשרת אין נתיב לעקוף אותה. הצורה השנייה מוסיפה גבול, אבל רק אם הנתיבים והמדיניות באמת מעבירים את התעבורה דרכו. שרת באותו סגמנט כנקודת הקצה אולי לעולם לא ילך אחרי הקפיצה האמצעית המדומיינת. התרשים מראה כוונה, וטבלת הניתוב מראה מה קורה.

אמתו באמצעות חיפוש נתיב ולא באמצעות השרטוט. הממשק שדרכו יוצאת החבילה והקפיצה הבאה שהיא בוחרת קובעים אם הצורה השנייה מתנהגת כמתוכנן.

ip route get 10.30.7.20
sudo iptables -S FORWARD
sudo tcpdump -ni inside0 host 10.30.7.20

הפרידו בין טופולוגיה לבידוד

שיתוף תת-רשת אינו הופך מקום לבלתי מהימן, ומעבר ייעודי אינו הופך אותו למוגן. מה שקובע הוא ההגבלה שמיושמת בפועל, ההעברה שבאמת מתרחשת ומי מנהל כל חלק. ספירת מתגים לא אומרת דבר על אף אחד מהשלושה. החליטו לפי המדיניות והנתיב, ותנו לטופולוגיה ללכת אחרי ההחלטה.

התייחסו גם לאוכלוסיות תעבורה בנפרד. מאגרי גישה מרחוק, קידומות אתר לאתר ורשתות קו פרטי יכולים לחלוק מכשיר אחד ועדיין להזדקק לכללים שונים, כי הזהות והסיכון שלהם שונים. כלל שנכתב לאוכלוסייה אחת מכסה בשקט את האחרות כשהן חולקות תוכנית כתובות.

בדקו כשל וניהול לכל מיקום

לכל מיקום יש אופן כשל, והשאלה המועילה היא מה עדיין עובד כשמרכיב נעצר. כמה ממשקים לוגיים במכשיר מת אחד לא נותנים שחזור עצמאי, וחומת אש במורד הזרם שחולקת את אותו חשמל או את אותו מנהל אינה גבול שני. שאלו לאן עובר נתיב הניהול, כי קונסולה שנגישה רק דרך המנהרה אינה נתיב שחזור כלל; ssh [email protected] true מחוץ למנהרה הוא הדרך הזולה ביותר להוכיח שהקונסולה אינה תלויה בה. תיעוד המדיניות הקבוצתית של פלטפורמה אחת מציב את המסנן שלו על תעבורה לאחר פענוח ולפני הצפנה, וזה בדיוק סוג הוו הנקרא שיש לחפש בכל מוצר.

כתבו את סיפור הכשל של כל מועמד לצד סיפור האכיפה. מיקום שמנצח בבדיקה ומפסיד בשחזור הוא סחר חליפין, ויש לתעד אותו ככזה ולא לגלות אותו בזמן תקרית.

קבלו בזרימה מותרת ובזרימה נדחית

עם תוכנית בדיקות מאושרת, בדקו שלושה דברים ממקור ה-VPN האמיתי: יישום שאמור לעבוד, משאב שלא אמור, והכיוון שממנו חוזרת התשובה. הדחייה היא ההוכחה שהמדיניות פעילה, בעוד שהזרימה המותרת מוכיחה רק שקיים נתיב.

שמרו את הנתיב שנבחר ואת תוצאת המדיניות יחד, כי תוצאה בלי נתיב אינה ניתנת לשחזור ונתיב בלי תוצאה אינו ניתן להגנה. הצמד הזה שימושי הרבה יותר לבחירת נקודת חיבור מכל טענה לגבי איזו שכבת מיתוג בטוחה יותר מטבעה.