Aðgangur frá VPN að VLAN: byggðu fylkið áður en reglurnar koma
Hlutverk á annarri hlið, þjónustur á hinni. Fimm athuganir gera óskýra hönnun fyrir aðgang frá VPN að VLAN að töflu sem eigandi eldveggsins getur útfært.
Byrjaðu á fylkinu, ekki á setningafræði eldveggsins. Töflu með hlutverkum á annarri hlið og þjónustum á hinni getur eigandi forrits farið yfir, eigandi öryggismála rætt og sá sem heldur gáttinni útfært. Sú yfirferð er ódýrari en að aflúsa reglur sem enginn var sammála um.
Klukkustund af skrifum sparar viku af reglufornleifafræði síðar. Hönnunin talar um hver nær hvaða þjónustu, og það er sá hluti sem lifir endurnúmerun af.
Skref 1: nefndu hlutverkin áður en netin koma
Byrjaðu á fólkinu, ekki á rofanum. Skrifaðu niður hvern hóp sem tengist fjarlægt og einu setninguna sem lýsir því hvað hópurinn gerir, til dæmis vöruhúsastarfsfólk sem les birgðastöðu eða verktaki sem heldur við einni samþættingu. Ef tveir hópar fengju sama aðgang eru þeir eitt hlutverk í þessum tilgangi.
Stoppaðu hér ef hlutverk er til eingöngu vegna skipurits. Hlutverk án eigin þjónustuþarfar verður röð af eins reitum, og eins raðir freista einhvers til að veita síðar heilt undirnet til hægðarauka. Skiptu eftir því sem fólk gerir, ekki eftir því hver skrifar undir útgjöld þess. Sex hlutverk eru yfirleitt of mörg fyrir lítið skrifstofu og þrjú eru oft rétt.
Skref 2: breyttu hverjum reit í þjónustuyfirlýsingu
Reitur þar sem stendur „Forrit“ er ekki prófanlegur. Reitur þar sem stendur „HTTPS að ERP-þjóninum á 443, úr starfsmannahópnum“ er prófanlegur. Skiptu hverju netheiti út fyrir áfangastað, samskiptareglu og gátt, og bættu síðan við þeirri háð sem þjónustan getur ekki unnið án, til dæmis innri leysinum eða auðkennisveitandanum.
| Check | Passes when | Stop if |
|---|---|---|
| Destination named | Host and port appear in the cell | Cell names a VLAN or a subnet |
| Direction stated | Initiator and responder are both clear | Cell implies two-way access |
| Dependency listed | DNS or identity path is explicit | Whole infrastructure range is granted |
| Negative case written | At least one denied pair is recorded | Only allow rules exist |
Stefnu-dálkurinn grípur dýrustu mistökin. Leyfi fyrir starfsfólk að opna forrit þýðir ekki leyfi fyrir forritsþjóna að opna tengingar til baka í fartölvur starfsfólks, og stöðu-regla sem leyfir fyrstu stefnuna er oft lesin eins og hún leyfi þá seinni.
Skref 3: ákveddu hvar auðkenni verður að stefnu
Einhver verður að breyta auðkenndri lotu í hlutverk sem gáttin getur framfylgt. Studdir valkostir eru hópstefna frá auðkenningarbackendinum, traust lotueinkenni eða aðskildir vistfangahópar fyrir hvert hlutverk. Allir þrír virka; merki sem biðlarinn sendir virkar ekki. Veldu þá aðferð sem gáttin þín skjalfestir, ekki þá sem færsla á vefspjalli lýsir.
Að úthluta vistfangi sem aðeins virðist tilheyra VLAN er sama svarið sem ekki er svar í annarri búningi. Leiðarvísir Netgate um eldveggsreglur OpenVPN gerir aðskilnaðinn skýran: að leyfa göngunni að rísa er önnur ákvörðun en að leyfa umferð í gegnum hana.
Skrifaðu niður hvaða aðferð þú valdir og hvar hún er stillt. Þegar hlutverk breytist er sú athugasemd munurinn á einni breytingu og leit í gegnum þrjú viðmót. Hún segir endurskoðanda líka hvar eigi að líta fyrst.
Skref 4: fylgstu með upprunavistfanginu sem áfangastaðurinn sér
Stefna framsendingar verður að passa við raunverulegan uppruna á mörkunum. Ef gáttin þýðir VPN-biðlara yfir á eigið vistfang, sér hver eldveggur neðar einn uppruna og missir getuna til að taka ákvarðanir eftir hlutverki. Ef hún varðveitir vistfang biðlarans verður afturleiðin að vera til fyrir þann hóp.
Prófaðu báðar stefnur áður en þú skrifar endanlegu reglurnar og skráðu síðan upprunann sem sést við hvern reit. Keyrðu sömu athugun úr tveimur mismunandi hlutverkum og berðu saman niðurstöðuna. Ef báðar sýna vistfang gáttarinnar er aðgreining hlutverkanna þegar glötuð. Fylki sem gerir ráð fyrir varðveittum vistföngum á meðan gáttin þýðir uppruna mistekst á fyrsta ACL neðar.
Skref 5: prófaðu hvern reit áður en þú sendir frá
Breyttu hverjum leyfðum reit í eina dæmigerða aðgerð og hverjum synjuðum reit í neikvætt tilvik. Keyrðu bæði frá biðlara í raunverulegu hlutverki, ekki frá stjórnborði gáttarinnar, því stjórnborðið fer fram hjá leiðinni sem þú ert að prófa.
# allowed: staff role reaches the ERP endpoint
curl -sS -o /dev/null -w '%{http_code}\n' --max-time 5 https://erp.internal.example/health
# denied: the same role must not reach a management host
nc -vz -w 3 10.30.5.11 22
# observed source address at the destination
sudo tcpdump -ni any 'tcp port 443 and host 10.30.20.15'Neikvætt tilvik sem tengist er niðurstaða, ekki tilviljun, og á heima í fylkinu sem mistekinn reitur þar til reglan er lagað. Hafðu prófunarskipanirnar við töfluna svo næsti yfirferðarmaður keyri þær aftur í stað þess að byggja röksemdirnar upp á nýtt.
Fullbúin taflan lifir lengur en gáttin sem hún var skrifuð fyrir. Reglur breytast með fastbúnaði og söluaðila, en röðin sem segir að verktaki nái einni verkefnaþjónustu helst sönn þar til það verk breytist.