Il transito cifrato non concede l'accesso all'operatore

Due gateway approvati trasportano il traffico di una rete meno fidata attraverso una rete di trasporto limitata. Cifrare il payload lo rende illeggibile agli osservatori ordinari del transito, ed è la parte che le persone progettano per prima e poi smettono di considerare. Ciò che la cifratura non fa è definire quali risorse il lato meno fidato può raggiungere. Il progetto richiede due confini: uno attorno alla conversazione trasportata e uno attorno all'accesso all'operatore stesso.

Eseguite i passaggi seguenti in ordine e trattate qualsiasi errore in qualsiasi passaggio come una modifica di progetto, non come un ritocco alla configurazione.

Definite entrambi i confini prima di toccare una configurazione

Il primo confine è la conversazione: quali coppie di gateway possono stabilire un tunnel e quale traffico interno è ammesso attraversarlo. Il secondo è l'operatore: quali indirizzi e servizi gli host meno fidati possono raggiungere fuori dal tunnel. I team di solito costruiscono il primo e ereditano il secondo da qualunque routing già esistesse, ed è così che un progetto limitato diventa silenziosamente ampio. Quell'eredità è la causa profonda abituale quando una revisione trova un host meno fidato che parla con qualcosa che nessuno ha approvato.

Scrivete entrambi come elenchi di indirizzi, porte e direzioni. Se un elenco non può essere scritto, il confine non è ancora definito.

Passaggio 1: limitare il tunnel esterno

Sull'interfaccia rivolta all'operatore, consentite solo ciò che il tunnel richiede: IKE su UDP 500 e 4500 tra i due indirizzi dei gateway, ed ESP dove non si usa il traversal NAT. Negate tutto il resto che arriva su quell'interfaccia, compresi i protocolli di gestione. La specifica ESP copre i servizi di protezione; non dice nulla su quali servizi propri dell'operatore i gateway possano usare. Esprimetelo come un elenco esplicito di autorizzazioni, così che un servizio dell'operatore pubblicato di recente non diventi raggiungibile per impostazione predefinita.

È l'insieme di regole che rende il progetto un progetto di transito e non un accordo di peering.

Verificatelo dal lato meno fidato, non dalla console del gateway. Un host lì dovrebbe fallire nel raggiungere un server DNS dell'operatore ancora prima che il tunnel sia attivo.

Passaggio 2: decidere cosa consegna il gateway remoto

All'estremità remota, il traffico recuperato deve andare in un punto preciso. Definite quali servizi interni sono ammessi, da quali intervalli di origine e se si prevede che le risposte siano simmetriche. Esaminate separatamente l'accesso amministrativo, perché lo stesso gateway spesso espone un'interfaccia amministrativa che non è mai stata parte del piano di transito.

Un diagramma che si ferma alla decifratura riuscita ha saltato la decisione che conta di più.

Passaggio 3: mantenere la proprietà per livello

L'apparecchiatura di transito riceve e inoltra ancora i pacchetti esterni, quindi necessita di patch e pianificazione della capacità. Gli endpoint del tunnel elaborano il protocollo protetto ed espongono il traffico interno al proprio percorso di inoltro, quindi necessitano di regole proprie e di un monitoraggio proprio. Le applicazioni finali elaborano il payload, e un payload opaco non è prova che un download decifrato sia innocuo.

Assegnate un proprietario a ogni livello. I livelli senza proprietario sono quelli che derivano.

Passaggio 4: verificate, poi affidatelo all'autorità

Verificate il percorso esterno con il tunnel attivo e le regole dell'operatore in vigore. Poi provate ogni risorsa che il lato meno fidato non dovrebbe raggiungere e confermate che l'errore è un rifiuto e non un timeout che nasconde una rotta. Controllate anche disponibilità e limiti delle risorse, perché anche un collegamento cifrato può saturarsi.

Per ambienti regolamentati o classificati, portate il progetto all'autorità di sicurezza responsabile e usate la sua architettura di separazione approvata. Una configurazione VPN e una spiegazione concettuale non stabiliscono un'accreditamento. Quel passaggio non è burocrazia; decide se il progetto è autorizzato a esistere.