Գծեք գաղտնազերծված ուղին. որտեղ VPN սարքը կիրառում է քաղաքականություն
Կոդավորված լսողի մոտ կանգնող դիագրամը չի ցույց տալիս այն քաղաքականությունը, որ կարևոր է։ Գծեք գաղտնազերծված ուղին, ապա համեմատեք տեղաբաշխումները՝ ըստ այն բանի, թե ինչ է հատում հարցումը։
Մատակարարների դիագրամները սովորաբար կանգ են առնում կոդավորված լսողի մոտ, քանի որ հենց այդ մասն ունի հանրային հասցե։ Անվտանգության դիրքը որոշող հարցն այն է, թե ինչ է տեղի ունենում գաղտնազերծումից հետո, երբ փաթեթը դառնում է սովորական IP և կարող է հասնել այն ամենին, ինչ թույլ է տալիս երթուղման աղյուսակը։ Եթե ոչ ոք չի գծել այդ ոտքը, ապա դրա տերն էլ չկա։ Ստորև բերված ուղեցույցը սկզբում գծում է այն, ապա համեմատում տեղաբաշխումները՝ ըստ այն բանի, թե գաղտնազերծված հարցումն իրականում ինչ է հատում։
Գծեք փաթեթը գաղտնազերծումից հետո, ոչ թե առաջ
Արտաքին ուղին այն մասն է, որը մատակարարները փաստաթղթավորում են՝ հանրային վերջնակետ, տրանսպորտի քաղաքականություն, որը թույլ է տալիս կապը, և ծառայություն, որը փակում է այն։ Ներքին ուղին սկսվում է այն պահին, երբ փաթեթը կորցնում է թունելի վերնագիրը, և այնտեղից այն ղեկավարվում է երթուղման և զտման կանոններով, որոնք ոչ մի կապ չունեն թունելի հետ։ Տեղադրեք երկուսն էլ նույն էջում, քանի որ միայն առաջինը ցույց տվող դիագրամը հուշում է, որ ընդունումը և լիազորումը մեկ որոշում են։ Դրանք այդպես չեն, և հենց նրանց միջև եղած բացն է, որտեղ տեղաբաշխումների մեծ մասը սխալվում է։
Ներքին ոտքը գրեք որպես համարակալված հաջորդականություն՝ անվանված սարքատեսակներով, այլ ոչ որպես սլաք։ Սլաքը թաքցնում է՝ արդյոք հարցումը հատում է զտիչ, և հատելը կամ չհատելը հենց ամբողջ հարցն է։ Ստորև յուրաքանչյուր քայլ անվանում է սարքը և այնտեղ գործող կանոնների հավաքածուն, այնպես որ բացակայող զտիչը երևում է որպես բացվածք, այլ ոչ որպես գծով հուշված բան։
- Հեռավոր հաճախորդ՝ օգտատիրոջ սարքը, որը ստեղծում է թունելը։
- Եզրային քաղաքականություն՝ կանոնների հավաքածուն, որը թույլ է տալիս արտաքին տրանսպորտը դեպի հանրային լսող։
- Փակող սարք՝ VPN վերջնակետը, որը վերականգնում է փաթեթը և հանձնում սովորական IP-ին։
- Ներքին զտիչ՝ վերափոխադրման կամ անվտանգության խմբի կանոնների հավաքածուն, որը սահմանափակում է հաճախորդից ծառայություն երթևեկությունը։
- Հավելվածի հոսթ՝ ծառայությունը, որը ստանում է գաղտնազերծված հարցումը։
Երկու քաղաքականություն, երկու տեր
Արտաքին քաղաքականությունը պատասխանում է, թե ով կարող է թունել ստեղծել, և արտահայտվում է այն կանոններում, որոնք տրանսպորտը թույլ են տալիս դեպի փակող ծառայություն։ Ներքին քաղաքականությունը պատասխանում է, թե վավերացված օգտատերը որ ծառայությանը կարող է հասնել, և ապրում է վերափոխադրման կանոններում, անվտանգության խմբերում կամ հենց հավելվածում։ Մեկ սարքը կարող է տեղավորել երկուսին, և մի քանի սարքով նախագիծը դեռ ունի երկուսը։ Հենց դրանք առանձին անվանելն է թույլ տալիս ասել, թե որն է ձախողվել, երբ օգտատերը չի հասնում հավելվածին։
Ընդունման վերահսկիչները, ինչպիսիք են վկայականները և բազմագործոն վավերացումը, պատասխանում են ինքնությանը և ուրիշ ոչնչի։ Դրանք չեն որոշում տեղաբաշխումը և չեն տալիս թույլտվություն յուրաքանչյուր ռեսուրսի համար, երբ օգտատերն արդեն ներսում է։
Տեղաբաշխումը որոշում է, թե հարցումը որ սահմանն է հատում
Երեք տեղաբաշխում սովորական են, և յուրաքանչյուրը փոխում է, թե գաղտնազերծված հարցումը որ սահմանն է հատում։ Համեմատեք դրանք ըստ այն բանի, թե ինչ է այնտեղ ավարտվում, ինչը կարող է տեսնել բաց տեքստը, որ վերահսկիչը դեռ կարող է մերժել հարցումը, և ինչն է ձախողվում սարքի հետ միասին։ Ստորև բերված աղյուսակը օգտագործում է այդ չորս սյուները ընդհանուր հարցի փոխարեն, քանի որ յուրաքանչյուր պատասխան առանձին նախագծային որոշում է։
| Placement | What terminates there | What sees plaintext | Which control can still deny | Failure domain |
|---|---|---|---|---|
| Termination in a dedicated segment | A dedicated VPN endpoint | The endpoint and anything on its segment | The filter between that segment and the application | The segment path can bypass the filter if no rule sits on it |
| Termination on the edge firewall | The firewall's public listener | The firewall, after decapsulation | The firewall's inner rule set | Admission and inspection fail together |
| Termination on the protected LAN | The appliance's LAN leg | Every host on the protected LAN | Only a host control or a downstream gateway | The appliance and the protected hosts fail together |
Երրորդ տեղաբաշխումը հենց այն է, որը լուռ հեռացնում է կիրառումը, քանի որ պաշտպանված սեգմենտի վրա ոտքը սարքին տալիս է ուղիղ ուղի, որը դիագրամը գուցե չցուցադրի։ Ստուգեք ինտերֆեյսներն ու երթուղիները, ոչ թե պատկերը՝ ip route get 10.20.5.10 հաղորդում է, թե որ ինտերֆեյսով փաթեթը դուրս կգա, և պատասխանը հաճախ այն չէ, ինչ նախագիծը ենթադրել է։ Հրդեհային պատի դասական դերը՝ վերահսկել երթևեկությունը դիրքերի միջև, ինչպես նկարագրված էNIST SP 800-41 փաստաթղթում, այստեղ օգտակար փորձություն է, քանի որ պաշտպանված ցանցի նկատմամբ անսահմանափակ ոտք ունեցող սարքը շատ բան չի վերահսկում։ Երթուղու որոնումը ավելի ազնիվ դիագրամ է, քան ներկայացման մեջ եղածը։
Կառավարումը պատկանում է իր իսկ բացահայտ թույլատրված ուղուն։ Օգտատերերին հավելված հասնել թույլ տալը երբեք չի պահանջում թույլ տալ նրանց հասնել սարքի կառավարման ինտերֆեյսին, և երկու թույլտվությունները պետք է տրվեն տարբեր կանոններից։ Աուդիտ արեք երկու ուղիներն առանձին, քանի որ ընդհանուր կանոնը թաքցնում է, թե որն է բացվել։
Թարգմանությունը փոխում է, թե ինչ կարող են տեսնել ներքևի կանոնները
Աղբյուրի թարգմանությունը հարմար է և ոչնչացնում է տեղեկատվությունը։ Masquerade-ից հետո յուրաքանչյուր հաճախորդ նման է սարքին, ուստի օգտատերերին տարբերելու համար գրված ներքևի կանոնն այլևս չի կարող դա անել։ Սա միայն գրանցման խնդիր չէ, սա քաղաքականության խնդիր է. հաճախորդի հասցեով բանալիացված կանոնը լուռ դառնում է դարպասով բանալիացված կանոն։ Եթե մեկ օգտատիրոջ քաղաքականությունը կարևոր է, պահպանեք աղբյուրը կամ կիրառեք քաղաքականությունը թարգմանությունից առաջ։
Պատասխանի ուղին արժանի է նույն ուսումնասիրությանը։ Արձանագրեք, թե նպատակակետը որ երթուղին է ընտրում վերադարձի փաթեթի համար, քանի որ ասիմետրիկ վերադարձը շրջանցում է վիճակով ստուգումը և ստեղծում կապ, որը հաստատվում է, ապա կանգ է առնում։ Երկու ուղղություններն էլ պետք է հատեն ձեր գծած սահմանը, այլապես սահմանը զարդարանք է։
sudo tcpdump -ni inside0 host 10.20.5.10
ip route get 10.20.5.10
sudo iptables -t nat -S POSTROUTINGԸնդունեք մեկ թույլատրված և մեկ մերժված գործողություն
Փորձարկեք իրական հեռավոր հաճախորդից, ոչ թե կառավարման հոսթից, քանի որ կառավարման հոսթը սովորաբար նստում է այնտեղ, որտեղ օգտատերը երբեք չի լինի։ Մեկ թույլատրված գործողություն ապացուցում է, որ ուղին աշխատում է, իսկ մեկ մերժվածը՝ որ քաղաքականությունը ընդհանրապես ինչ-որ բան է անում։ Կատարեք երկուսն էլ յուրաքանչյուր տեղաբաշխման փոփոխությունից հետո և արձանագրեք օգտագործված աղբյուրի ինքնությունը և նպատակակետը։ Միայն հաջողությունն ապացուցող թեստը չի կարող տարբերել ճիշտ կանոնը բացակայողից։
Ապա փորձարկեք վիճակը փոխող դեպքերը՝ վերակապակցում, բանալու ռոտացիան վերապրող սեսիա և հենց սարքի խափանում։ Համեմատեք թարմացումները, հզորությունը և վերականգնումը նույն դասավորության մասով, քանի որ մի քանի տրամաբանական վերահսկիչ կրող մեկ սարքը մեկ խափանման տիրույթ է մի քանի պիտակով։ Երկրորդ տուփը նույնպես անկախ չէ, երբ ընդհանուր վարչական հավատարմագիրը կամ անսահմանափակ երթուղին հաղթահարում է այն սահմանը, որը պետք է ստեղծեր։
Փաստաթղթավորեք վերջնակետը, գաղտնազերծված ուղին և այն սահմանափակող վերահսկիչը։ Այդ երեք տողերը իմաստալից են մնում, ինչպես էլ կոչվի իրականացումը։