Setelah dekripsi: kebijakan mana yang melihat lalu lintas VPN Anda lebih dulu

Aliran VPN bisa terenkripsi sempurna dan terautentikasi sempurna namun tetap mendarat di tempat yang tidak direncanakan siapa pun. Kabel yang Anda colokkan tidak menentukan aturan mana yang memproses paket dalam; kait kebijakan dan rute yang menentukannya. Karena itu dua desain yang tampak sama pada diagram rak bisa memiliki penegakan yang sangat berbeda. Memilih di antara keduanya dimulai dengan menamai kontrol yang melihat aliran terdekripsi lebih dulu.

Putuskan lewat kait kebijakan, bukan port

Setiap platform VPN mengevaluasi lalu lintas terdekripsi pada suatu titik sebelum meneruskannya, dan titik itu punya nama dalam konfigurasi. Pada satu platform itu filter kebijakan grup, pada platform lain kebijakan antarmuka atau pasangan zona, dan pada perangkat yang merutekan bisa jadi hanya rantai forward. Kaitlah yang menegakkan aturan, sedangkan port switch hanya tempat kabel berakhir. Menemukan kait adalah keputusan pertama, karena semua hal lain adalah penempatan relatif terhadapnya.

Sebelum melihat perangkat keras, tuliskan alirannya: siapa sumbernya, ke mana tujuannya, protokol apa yang membawanya, dan layanan apa yang diizinkan. Lalu temukan kontrol yang menegakkan keempat fakta itu.

Dua jalur, dua kisah penegakan

Dua bentuk lazim, dan masing-masing bisa benar untuk kebutuhan berbeda.

endpoint -> shared inside subnet -> server
endpoint -> dedicated transit -> policy firewall -> server subnet

Bentuk pertama bisa menegakkan semua yang diperlukan di gateway, asalkan kebijakan gateway ditulis untuk tujuan itu dan server tidak punya jalur memutarinya. Bentuk kedua menambah batas, tetapi hanya bila rute dan kebijakan benar-benar membuat lalu lintas melewatinya. Server di segmen yang sama dengan titik akhir mungkin tidak pernah mengikuti lompatan perantara yang dibayangkan. Diagram menunjukkan niat, dan tabel rute menunjukkan apa yang terjadi.

Verifikasi dengan pencarian rute, bukan dengan gambar. Antarmuka tempat paket keluar, dan lompatan berikutnya yang dipilihnya, menentukan apakah bentuk kedua berperilaku sesuai rancangan.

ip route get 10.30.7.20
sudo iptables -S FORWARD
sudo tcpdump -ni inside0 host 10.30.7.20

Pisahkan topologi dari isolasi

Berbagi subnet tidak membuat tempat menjadi tidak tepercaya, dan transit khusus tidak membuatnya terlindungi. Yang menentukan adalah pembatasan yang benar-benar diterapkan, penerusan yang benar-benar terjadi, dan siapa yang mengelola tiap bagian. Menghitung switch tidak mengatakan apa pun tentang ketiganya. Putuskan dari kebijakan dan rute, lalu biarkan topologi mengikuti keputusan.

Perlakukan populasi lalu lintas secara terpisah juga. Kolam akses jarak jauh, prefiks situs-ke-situs, dan jaringan jalur sewa dapat berbagi satu perangkat dan tetap membutuhkan aturan berbeda, karena identitas dan risikonya berbeda. Aturan yang ditulis untuk satu populasi diam-diam menutupi yang lain ketika mereka berbagi rencana alamat.

Periksa kegagalan dan pengelolaan tiap penempatan

Setiap penempatan punya mode kegagalan, dan pertanyaan yang berguna adalah apa yang masih bekerja ketika sebuah komponen berhenti. Beberapa antarmuka logis pada satu perangkat mati tidak memberi pemulihan mandiri, dan firewall hilir yang berbagi catu daya atau administrator yang sama bukan batas kedua. Tanyakan di mana jalur manajemen berjalan, karena konsol yang hanya bisa dijangkau lewat terowongan sama sekali bukan jalur pemulihan; ssh [email protected] true dari luar terowongan adalah cara termurah membuktikan konsol tidak bergantung padanya. Dokumentasi kebijakan grup satu platform menempatkan filternya pada lalu lintas pasca-dekripsi dan pra-enkripsi, yang persis jenis kait bernama yang harus dicari di produk mana pun.

Tulis kisah kegagalan tiap kandidat di samping kisah penegakan. Penempatan yang menang pada inspeksi dan kalah pada pemulihan adalah pertukaran, dan harus dicatat sebagai itu alih-alih ditemukan saat insiden.

Terima dengan aliran yang diizinkan dan yang ditolak

Dengan rencana uji yang disetujui, periksa tiga hal dari sumber VPN sebenarnya: aplikasi yang seharusnya bekerja, sumber daya yang seharusnya tidak, dan arah balasan kembali. Penolakan adalah bukti kebijakan terlibat, sedangkan aliran yang diizinkan hanya membuktikan jalur ada.

Simpan jalur yang dipilih dan hasil kebijakan bersama, karena hasil tanpa jalur tidak dapat direproduksi dan jalur tanpa hasil tidak dapat dipertahankan. Pasangan itu jauh lebih berguna untuk memilih titik sambungan daripada klaim apa pun tentang lapisan switching mana yang secara inheren lebih aman.