Transit Terenkripsi Tidak Memberi Akses ke Operator

Dua gateway yang disetujui membawa lalu lintas jaringan dengan kepercayaan lebih rendah melintasi jaringan transportasi yang dibatasi. Mengenkripsi muatan membuatnya tidak terbaca bagi pengamat transit biasa, dan itulah bagian yang orang rancang lebih dulu lalu berhenti memikirkannya. Yang tidak dilakukan enkripsi adalah menetapkan sumber daya mana yang boleh dijangkau sisi dengan kepercayaan lebih rendah. Desainnya membutuhkan dua batas: satu di sekitar percakapan yang dibawa, dan satu di sekitar akses ke operator itu sendiri.

Jalankan langkah-langkah di bawah ini secara berurutan, dan perlakukan kegagalan pada langkah mana pun sebagai perubahan desain, bukan penyesuaian konfigurasi.

Tetapkan kedua batas sebelum Anda menyentuh konfigurasi

Batas pertama adalah percakapan: pasangan gateway mana yang boleh membangun tunnel, dan lalu lintas dalam mana yang diizinkan melewatinya. Batas kedua adalah operator: alamat dan layanan mana yang dapat dijangkau host dengan kepercayaan lebih rendah di luar tunnel. Tim biasanya membangun yang pertama dan mewarisi yang kedua dari perutean apa pun yang sudah ada, dan begitulah desain yang terbatas diam-diam menjadi luas. Warisan itulah akar masalah yang lazim ketika tinjauan menemukan host dengan kepercayaan lebih rendah berbicara dengan sesuatu yang tidak disetujui siapa pun.

Tuliskan keduanya sebagai daftar alamat, port, dan arah. Jika daftar tidak dapat dituliskan, batasnya belum ditetapkan.

Langkah 1: batasi tunnel luar

Pada antarmuka yang menghadap operator, izinkan hanya apa yang dibutuhkan tunnel: IKE pada UDP 500 dan 4500 antara dua alamat gateway, dan ESP di tempat yang tidak menggunakan penelusuran NAT. Tolak semua hal lain yang tiba di antarmuka itu, termasuk protokol manajemen. spesifikasi ESP mencakup layanan perlindungan; ia tidak mengatakan apa pun tentang layanan milik operator mana yang boleh digunakan gateway. Nyatakan itu sebagai daftar izin eksplisit, sehingga layanan operator yang baru diterbitkan tidak menjadi dapat dijangkau secara default.

Inilah kumpulan aturan yang membuat desain menjadi desain transit, bukan pengaturan peering.

Periksa dari sisi kepercayaan lebih rendah, bukan dari konsol gateway. Sebuah host di sana seharusnya gagal menjangkau server DNS operator bahkan sebelum tunnel menyala.

Langkah 2: putuskan apa yang dikirim gateway jauh

Di ujung jauh, lalu lintas yang dipulihkan harus pergi ke suatu tempat yang spesifik. Tetapkan layanan dalam mana yang diizinkan, dari rentang sumber mana, dan apakah balasan diharapkan simetris. Tinjau akses manajemen secara terpisah, karena gateway yang sama sering mengekspos antarmuka administratif yang tidak pernah menjadi bagian dari rencana transit.

Diagram yang berhenti pada dekripsi yang berhasil telah melewatkan keputusan yang paling penting.

Langkah 3: pertahankan kepemilikan per lapisan

Peralatan transit masih menerima dan meneruskan paket luar, jadi ia memerlukan patch dan perencanaan kapasitas. Titik akhir tunnel memproses protokol yang dilindungi dan mengekspos lalu lintas dalam ke jalur penerusannya, jadi mereka memerlukan aturan sendiri dan pemantauan sendiri. Aplikasi akhir memproses muatan, dan muatan yang tidak transparan bukan bukti bahwa unduhan yang didekripsi tidak berbahaya.

Tetapkan pemilik untuk setiap lapisan. Lapisan tanpa pemilik adalah yang menyimpang.

Langkah 4: verifikasi, lalu serahkan kepada otoritas

Verifikasi jalur luar dengan tunnel menyala dan aturan operator sudah berlaku. Lalu coba setiap sumber daya yang tidak boleh dijangkau sisi kepercayaan lebih rendah dan pastikan kegagalannya adalah penolakan, bukan waktu tunggu yang menyembunyikan rute. Periksa juga ketersediaan dan batas sumber daya, karena tautan terenkripsi pun bisa jenuh.

Untuk lingkungan yang diatur atau terklasifikasi, bawa desainnya ke otoritas keamanan yang bertanggung jawab dan gunakan arsitektur pemisahan yang disetujuinya. Konfigurasi VPN dan penjelasan konseptual tidak menetapkan akreditasi. Langkah itu bukan administratif; ia menentukan apakah desainnya boleh ada sama sekali.