Titkosítás után: melyik szabályzat látja először a VPN-forgalmat

Egy VPN-folyam lehet tökéletesen titkosított és tökéletesen hitelesített, mégis olyan helyre juthat, amit senki nem tervezett. A csatlakoztatott kábel nem határozza meg, melyik szabály dolgozza fel a belső csomagot; ezt a szabályzat kampója és az útvonal teszi. Ezért két, a rack-rajzon azonosnak tűnő kialakítás teljesen eltérő érvényesítéssel bírhat. A köztük való választás a titkosítatlan folyamot elsőként látó vezérlés megnevezésével kezdődik.

A szabályzat kampója alapján döntsön, ne a port alapján

Minden VPN-platform a továbbítás előtt valamikor értékeli a titkosított forgalmat, és ennek a pontnak neve van a konfigurációban. Az egyik platformon csoportszabályzat-szűrő, a másikon interfész-szabályzat vagy zónapár, egy útválasztón pedig egyszerűen a forward lánc. A kampó érvényesíti a szabályt, míg a kapcsolóport csak az a hely, ahol a kábel véget ér. A kampó megtalálása az első döntés, mert minden más ehhez viszonyított elhelyezés.

Mielőtt a hardverre nézne, írja le a folyamot: ki a forrás, hova tart, melyik protokoll viszi, és melyik szolgáltatás engedélyezett. Ezután keresse meg azt a vezérlést, amely ezt a négy tényt érvényesíti.

Két útvonal, két különböző érvényesítési történet

Két forma gyakori, és mindegyik más követelményhez lehet helyes.

endpoint -> shared inside subnet -> server
endpoint -> dedicated transit -> policy firewall -> server subnet

Az első forma mindent érvényesíthet az átjárón, feltéve hogy a szabályzat erre a célra íródott, és a kiszolgálónak nincs megkerülő útja. A második forma határt ad, de csak akkor, ha az útvonalak és a szabályzat tényleg átviszi rajta a forgalmat. Előfordulhat, hogy a végponttal azonos szegmensen lévő kiszolgáló soha nem követi a képzelt köztes ugrást. A diagram a szándékot mutatja, az útválasztási tábla pedig azt, ami történik.

Útvonalkereséssel ellenőrizze, ne a rajzzal. Az interfész, amelyen a csomag kilép, és a választott következő ugrás dönti el, hogy a második forma a tervezett módon működik-e.

ip route get 10.30.7.20
sudo iptables -S FORWARD
sudo tcpdump -ni inside0 host 10.30.7.20

Válassza szét a topológiát az elkülönítéstől

Egy alhálózat megosztása nem tesz egy helyet megbízhatatlanná, a dedikált átvitel pedig nem teszi védetté. Az dönt, hogy milyen korlátozás érvényesül ténylegesen, milyen továbbítás történik ténylegesen, és ki igazgatja az egyes részeket. A kapcsolók számolása semmit sem mond a három közül egyikről sem. Döntsön a szabályzat és az útvonal alapján, és hagyja, hogy a topológia kövesse a döntést.

A forgalmi populációkat is kezelje külön. A távoli hozzáférési poolok, a telephelyek közötti előtagok és a bérelt vonali hálózatok osztozhatnak egy eszközön, és mégis eltérő szabályokat igényelhetnek, mert identitásuk és kockázatuk más. Az egy populációra írt szabály csendben lefedi a többit, ha közös a címterv.

Ellenőrizze a meghibásodást és a felügyeletet minden elhelyezésnél

Minden elhelyezésnek van meghibásodási módja, és a hasznos kérdés az, mi működik még, amikor egy komponens leáll. Több logikai interfész egyetlen halott eszközön nem ad független helyreállítást, és egy alsóbb tűzfal, amely ugyanazt a tápot vagy ugyanazt az adminisztrátort osztja, nem második határ. Kérdezze meg, merre fut a felügyeleti útvonal, mert a csak az alagúton át elérhető konzol egyáltalán nem helyreállítási útvonal; ssh [email protected] true az alagúton kívülről a legolcsóbb módja annak bizonyítására, hogy a konzol nem függ tőle. Egy platform csoportszabályzat-dokumentációja a szűrőjét a titkosítás utáni és a titkosítás előtti forgalomra teszi, ami pontosan az a fajta megnevezett kampó, amelyet minden termékben keresni kell.

Írja meg minden jelölt meghibásodási történetét az érvényesítési történet mellé. Az az elhelyezés, amely nyer az ellenőrzésen és veszít a helyreállításon, csere, és ezt így kell rögzíteni, nem pedig incidens közben felfedezni.

Fogadja el engedélyezett és tiltott folyammal

Jóváhagyott teszttervvel ellenőrizzen három dolgot a valódi VPN-forrásból: egy alkalmazást, amelynek működnie kell, egy erőforrást, amelynek nem, és az irányt, amerre a válasz visszajön. A tiltás a bizonyíték arra, hogy a szabályzat aktív, míg az engedélyezett folyam csak azt bizonyítja, hogy létezik útvonal.

Őrizze meg a választott útvonalat és a szabályzat eredményét együtt, mert útvonal nélkül az eredmény nem reprodukálható, eredmény nélkül pedig az útvonal nem védhető. Ez a pár sokkal hasznosabb a csatlakozási pont kiválasztásához, mint bármilyen állítás arról, melyik kapcsolási réteg eleve biztonságosabb.