Šifrirani tranzit ne daje pristup operateru

Dva odobrena pristupnika prenose promet mreže s nižim povjerenjem preko ograničene transportne mreže. Šifriranje korisnog tereta čini ga nečitljivim za obične promatrače u tranzitu, a to je dio koji ljudi prvo dizajniraju i zatim prestanu o njemu razmišljati. Ono što šifriranje ne čini jest određivanje kojim resursima strana s nižim povjerenjem smije pristupiti. Dizajn treba dvije granice: jednu oko prenesenog razgovora i jednu oko pristupa samom operateru.

Izvedite korake u nastavku redom i tretirajte neuspjeh na bilo kojem koraku kao promjenu dizajna, a ne kao podešavanje konfiguracije.

Definirajte obje granice prije nego što dotaknete konfiguraciju

Prva granica je razgovor: koji parovi pristupnika smiju uspostaviti tunel i koji unutarnji promet smije proći kroz njega. Druga je operater: kojim adresama i servisima hostovi s nižim povjerenjem mogu pristupiti izvan tunela. Timovi obično grade prvu, a drugu nasljeđuju od bilo kojeg usmjeravanja koje je već postojalo, i tako ograničen dizajn tiho postaje širok. To nasljeđivanje uobičajen je korijen problema kada pregled otkrije da host s nižim povjerenjem razgovara s nečim što nitko nije odobrio.

Zapišite obje kao popise adresa, portova i smjerova. Ako se popis ne može zapisati, granica još nije definirana.

Korak 1: ograničite vanjski tunel

Na sučelju okrenutom operateru dopustite samo ono što tunelu treba: IKE na UDP 500 i 4500 između dvije adrese pristupnika i ESP tamo gdje se NAT prosljeđivanje ne koristi. Odbijte sve ostalo što stiže na to sučelje, uključujući upravljačke protokole. Specifikacija ESP-a pokriva zaštitne servise; ne govori ništa o tome koje vlastite servise operatera pristupnici smiju koristiti. Izrazite to kao eksplicitan popis dopuštenja, kako novoobjavljeni servis operatera ne bi postao dostupan prema zadanim postavkama.

To je skup pravila koji dizajn čini tranzitnim dizajnom, a ne peering aranžmanom.

Provjerite to sa strane s nižim povjerenjem, ne iz konzole pristupnika. Host tamo trebao bi propasti u dolasku do DNS poslužitelja operatera čak i prije nego što je tunel podignut.

Korak 2: odlučite što udaljeni pristupnik isporučuje

Na udaljenom kraju obnovljeni promet mora ići na određeno mjesto. Definirajte koji su unutarnji servisi dopušteni, iz kojih raspona izvora i očekuju li se simetrični odgovori. Pregledajte upravljački pristup odvojeno, jer isti pristupnik često izlaže administrativno sučelje koje nikada nije bilo dio tranzitnog plana.

Dijagram koji staje na uspješnom dešifriranju preskočio je odluku koja je najvažnija.

Korak 3: zadržite vlasništvo po sloju

Tranzitna oprema još prima i prosljeđuje vanjske pakete, pa joj trebaju zakrpe i planiranje kapaciteta. Krajnje točke tunela obrađuju zaštićeni protokol i izlažu unutarnji promet svojoj putanji prosljeđivanja, pa im trebaju vlastita pravila i vlastiti nadzor. Završne aplikacije obrađuju korisni teret, a neproziran teret nije dokaz da je dešifrirano preuzimanje bezopasno.

Dodijelite vlasnika svakom sloju. Slojevi bez vlasnika oni su koji odlutaju.

Korak 4: provjerite, pa predajte nadležnom tijelu

Provjerite vanjsku putanju s podignutim tunelom i pravilima operatera na mjestu. Zatim isprobajte svaki resurs kojem strana s nižim povjerenjem ne smije pristupiti i potvrdite da je neuspjeh odbijanje, a ne istek vremena koji skriva rutu. Provjerite i dostupnost i ograničenja resursa, jer se i šifrirana veza može zasititi.

Za regulirana ili klasificirana okruženja odnesite dizajn nadležnom sigurnosnom tijelu i koristite njegovu odobrenu arhitekturu razdvajanja. VPN konfiguracija i konceptualno objašnjenje ne uspostavljaju akreditaciju. Taj korak nije papirologija; on odlučuje smije li dizajn uopće postojati.