Hvernig takmarka á aðgang milli tveggja skrifstofa sem tengjast með VPN

Tunnill milli staða svarar einni spurningu, hvort skrifstofurnar tvær geti skipt pakkum, og skilur þá mikilvægu eftir opna: hvaða útibúsbúnaður má ná hvaða miðlægu þjónustu. Að líta á tunnilinn sem gagnkvæmt traust er leiðin sem ferðatölva gesta endar á sömu slóð og fjármálapjónninn. Lausnin er ekki betri tunnill, heldur skýr heimildalisti sem er framfylgt eftir afkóðun. Þessi handbók færir listann frá skilgreiningu að sannaðri synjun.

Vinnið í þessari röð og víkkið ekki slóð tunnilsins fyrr en stefnuþrepin hér að neðan standast.

Skrifið fylkið áður en þið snertið gáttina

Gagnleg röð nefnir þrjá hluti: upprunahóp, áfangastað gestgjafa eða þjónustunet, og það samskiptareglur og gátt sem forritið notar í raun. Útibúið og gagnaverið eru ekki færslur. Einkanet DNS og auðkenningarþjónusta eiga sér eigin raðir aðeins þegar forritið getur ekki unnið án þeirra.

Flokkið uppruna eftir hlutverki frekar en þægindum undirnets: starfsfólk, gestir, stjórnsýsla. Þegar allir þrír deila einu flötu LAN getur gáttin ekki greint þá á netlaginu, svo stjórn auðkenna eða sundurhlutun verður að koma fyrst. Setjið svo fylkið á blað með eiganda og yfirferðardegi á hverri röð.

Framfylgið þar sem pakkarnir eru afkóðaðir

Reglurnar sem heimila IKE og ESP byggja aðeins ytri tunnilinn. Innri umferð kemur ódulkóðuð á tunnilviðmótið, og þar á heimildalistinn heima: framsendingarkeðja á afkóðandi tækinu, sjálfgefið dropping, ein regla fyrir hverja röð fylkisins. Á Linux gáttum þýðir það að framsending er virk og síureglur eru á tunniltækinu, ekki á líkamlegu hlekknum, eins og framsendingarleiðarvísir strongSwan útskýrir.

Umferðarvalar eru leiðarákvörðun, ekki heimildarákvörðun. Breiður valari sem nær yfir bæði undirnetin getur verið réttur fyrir leiðarstefnu meðan eldveggurinn heimilar enn aðeins TCP 443 til eins gestgjafa. Valarinn er saminn fyrir tunnilinn og lýsir því hvað má ganga inn í hann, ekki hvað tiltekið tæki má nota. Víkið aldrei eldveggjarreglu vegna þess að valarinn er breiður.

iptables -A FORWARD -i tun0 -s 10.20.0.0/24 -d 10.10.5.10 -p tcp --dport 443 -j ACCEPT
iptables -A FORWARD -i tun0 -j DROP

NAT og skarast undirnet breyta reglunum

Þegar gátt útibúsins þýðir hvern gestgjafa yfir í eitt vistfang fyrir tunnilinn, hrynur hver upprunamiðuð röð í það eina vistfang. Annaðhvort hættið þið að þýða tunnilumferð eða samþykkið að reglur verði að byggja á einhverju öðru, svo sem upprunalegu upprunavistfangi sem skráð var fyrir þýðinguna. Fjarlægi endinn á sama vandamál, því áfangastaður sér vistfangið eftir NAT en ekki það upprunalega.

Skarast svið eru hin gildran. Tvær skrifstofur sem báðar nota 192.168.1.0/24 er ekki hægt að lýsa í einni stefnutöflu án þess að varpa einni hlið, og vörpun kemur ekki í stað vistfangs sem rekst ekki á. Lagið planið áður en þið skrifið reglur sem þið þurfið að leysa upp síðar.

Sannið synjun, ekki bara árangur

Að prófa aðeins leyft forrit sannar mjög lítið, því eftirlát regla einhvers staðar ofar gefur sömu niðurstöðu.

Frá venjulegu útibústæki, náið ætlaðri þjónustu og staðfestið að öll lotan virki. Prófið svo áfangastað sem verður að vera lokaður, svo sem stjórnunarport á þjóni sem útibúið á ekkert erindi við, og lesið teljarann eða loggfærsluna sem felldi hann. Að slökkva á reglusettinu til að athuga hvort það virki gerir prófið ógilt og skilur gáttina opna á meðan þið horfið.

Haldið listanum lifandi

Forrit flytjast, og regla sem lifir forrit sitt lengur verður gat sem enginn á. Tengið yfirferðardaginn við röðina og breytið umfangi valarans og eldveggjarreglunni í sama viðhaldsþrepi þegar þjónusta flytur vistfang.

Takmarkanir á gestgjafastigi skipta enn máli bak við tunnilinn: eigin eldveggur þjónsins á að samþykkja svið útibúsins aðeins fyrir þá þjónustu sem hann birtir. Tvö lög sem eru sammála eru auðveldari í úttekt en eitt lag sem treyst er að fullu.