Nakon dešifriranja: koja politika prva vidi vaš VPN promet

VPN tok može biti savršeno šifriran i savršeno autentificiran, a ipak završiti tamo gdje nitko nije planirao. Kabel koji uključite ne određuje koje pravilo obrađuje unutarnji paket; to čine kuka politike i ruta. Zato dva dizajna koja na dijagramu izgledaju jednako mogu imati posve različitu primjenu. Odabir između njih počinje imenovanjem kontrole koja prva vidi dešifrirani tok.

Odlučujte po kuki politike, ne po portu u koji uključujete

Svaka VPN platforma procjenjuje dešifrirani promet u nekoj točki prije nego što ga proslijedi, a ta točka ima ime u konfiguraciji. Na jednoj platformi to je filtar grupne politike, na drugoj politika sučelja ili par zona, a na usmjerivaču to može biti samo forward lanac. Kuka provodi pravilo, dok je port preklopnika samo mjesto gdje kabel završava. Pronalaženje kuke prva je odluka jer je sve ostalo smještaj u odnosu na nju.

Prije nego pogledate hardver, zapišite tok: tko je izvor, kamo ide, koji ga protokol nosi i koja je usluga dopuštena. Zatim pronađite kontrolu koja provodi svaku od te četiri činjenice.

Dva puta, dvije različite priče o primjeni

Dva su oblika česta i svaki može biti ispravan za različit zahtjev.

endpoint -> shared inside subnet -> server
endpoint -> dedicated transit -> policy firewall -> server subnet

Prvi oblik može provesti sve potrebno na pristupniku, pod uvjetom da je politika pristupnika napisana za to odredište i da poslužitelj nema put oko nje. Drugi oblik dodaje granicu, ali samo ako rute i politika doista tjeraju promet kroz nju. Poslužitelj na istom segmentu kao krajnja točka možda nikada neće slijediti zamišljeni međuskočni skok. Dijagram pokazuje namjeru, a tablica usmjeravanja pokazuje što se događa.

Provjeravajte pretraživanjem rute, a ne crtežom. Sučelje kroz koje paket izlazi i sljedeći skok koji odabere odlučuju ponaša li se drugi oblik kako je projektiran.

ip route get 10.30.7.20
sudo iptables -S FORWARD
sudo tcpdump -ni inside0 host 10.30.7.20

Odvojite topologiju od izolacije

Zajednička podsreža ne čini mjesto nepouzdanim, a namjenski tranzit ne čini ga zaštićenim. Odlučuje stvarno primijenjeno ograničenje, stvarno preusmjeravanje i tko upravlja svakim dijelom. Brojenje preklopnika ne govori ništa o nijednoj od te tri stvari. Odlučite iz politike i rute, a topologija neka slijedi odluku.

Obradite i populacije prometa odvojeno. Pulevi daljinskog pristupa, prefiksi lokacija i mreže namjenskih linija mogu dijeliti jedan uređaj i dalje trebati različita pravila jer se njihov identitet i rizik razlikuju. Pravilo napisano za jednu populaciju tiho pokriva ostale kad dijele adresni plan.

Provjerite otkaz i upravljanje za svaki smještaj

Svaki smještaj ima način otkaza, a korisno je pitanje što još radi kad komponenta stane. Nekoliko logičkih sučelja na jednom mrtvom uređaju ne daje neovisni oporavak, a donji vatrozid koji dijeli isto napajanje ili istog administratora nije druga granica. Pitajte kuda ide put upravljanja jer konzola dostupna samo kroz tunel nije nikakav put oporavka; ssh [email protected] true izvan tunela najjeftiniji je način da dokažete da konzola ne ovisi o njemu. Dokumentacija grupne politike jedne platforme stavlja svoj filtar na promet nakon dešifriranja i prije šifriranja, što je upravo takva imenovana kuka koju treba tražiti u svakom proizvodu.

Napišite priču o otkazu svakog kandidata uz priču o primjeni. Smještaj koji pobjeđuje na pregledu a gubi na oporavku je trgovina i treba ga zabilježiti kao takvog, a ne otkriti tijekom incidenta.

Prihvatite s dopuštenim i zabranjenim tokom

S odobrenim planom testiranja provjerite tri stvari iz stvarnog VPN izvora: aplikaciju koja bi trebala raditi, resurs koji ne bi trebao, i smjer u kojem se odgovor vraća. Odbijanje je dokaz da je politika uključena, dok dopušteni tok dokazuje samo da put postoji.

Čuvajte odabranu rutu i rezultat politike zajedno jer se rezultat bez rute ne može ponoviti, a ruta bez rezultata ne može obraniti. Taj je par mnogo korisniji za odabir točke priključka od bilo koje tvrdnje o tome koji je sloj preklapanja sam po sebi sigurniji.