გაშიფვრის შემდეგ: რომელი პოლიტიკა ხედავს თქვენს VPN ტრაფიკს პირველი

VPN ნაკადი შეიძლება იყოს სრულყოფილად დაშიფრული და სრულყოფილად ავთენტიფიცირებული და მაინც დაეშვას იქ, სადაც არავის დაუგეგმავს. კაბელი, რომელსაც შეაერთებთ, არ განსაზღვრავს, რომელი წესი ამუშავებს შიდა პაკეტს; ამას პოლიტიკის კაუჭი და მარშრუტი აკეთებენ. ამიტომ ორი დიზაინი, რომლებიც თაროს დიაგრამაზე ერთნაირად გამოიყურება, შეიძლება სრულიად განსხვავებულად აღსრულდეს. მათ შორის არჩევა იწყება იმ კონტროლის დასახელებით, რომელიც გაშიფრულ ნაკადს პირველი ხედავს.

გადაწყვიტეთ პოლიტიკის კაუჭით და არა პორტით

ყოველი VPN პლატფორმა აფასებს გაშიფრულ ტრაფიკს რაღაც მომენტში გადაგზავნამდე, და ამ წერტილს კონფიგურაციაში სახელი აქვს. ერთ პლატფორმაზე ეს არის ჯგუფური პოლიტიკის ფილტრი, მეორეზე ინტერფეისის პოლიტიკა ან ზონათა წყვილი, ხოლო მარშრუტიზაციის მოწყობილობაზე შეიძლება უბრალოდ forward ჯაჭვი იყოს. კაუჭი აღასრულებს წესს, ხოლო კომუტატორის პორტი მხოლოდ ის ადგილია, სადაც კაბელი სრულდება. კაუჭის პოვნა პირველი გადაწყვეტილებაა, რადგან ყველაფერი დანარჩენი მის მიმართ განლაგებაა.

ტექნიკის ყურებამდე ჩაწერეთ ნაკადი: ვინ არის წყარო, სად მიდის, რომელი პროტოკოლი ატარებს და რომელი სერვისია დაშვებული. შემდეგ იპოვეთ კონტროლი, რომელიც ამ ოთხი ფაქტიდან თითოეულს აღასრულებს.

ორი გზა, ორი განსხვავებული აღსრულების ისტორია

ორი ფორმა გავრცელებულია და თითოეული შეიძლება სწორი იყოს სხვადასხვა მოთხოვნისთვის.

endpoint -> shared inside subnet -> server
endpoint -> dedicated transit -> policy firewall -> server subnet

პირველ ფორმას შეუძლია ყველა საჭირო რამის აღსრულება კარიბჭეზე, იმ პირობით, რომ კარიბჭის პოლიტიკა ამ დანიშნულებისთვისაა დაწერილი და სერვერს გვერდის ავლის გზა არ აქვს. მეორე ფორმა საზღვარს ამატებს, მაგრამ მხოლოდ მაშინ, თუ მარშრუტები და პოლიტიკა ტრაფიკს ნამდვილად ატარებს მასში. დასასრულ წერტილთან ერთ სეგმენტზე მყოფმა სერვერმა შეიძლება არასდროს გაიაროს წარმოსახვითი შუალედური ნახტომი. დიაგრამა განზრახვას აჩვენებს, ხოლო მარშრუტების ცხრილი - რაც ხდება.

დაადასტურეთ მარშრუტის ძებნით და არა ნახატით. ინტერფეისი, რომლითაც პაკეტი გადის, და არჩეული შემდეგი ნახტომი განსაზღვრავს, მეორე ფორმა დაპროექტებულისამებრ მუშაობს თუ არა.

ip route get 10.30.7.20
sudo iptables -S FORWARD
sudo tcpdump -ni inside0 host 10.30.7.20

გამოყავით ტოპოლოგია იზოლაციისგან

ქვექსელის გაზიარება ადგილს არასანდოს არ ხდის და გამოყოფილი ტრანზიტი მას დაცულს არ ხდის. განსაზღვრავს რეალურად გამოყენებული შეზღუდვა, რეალურად მომხდარი გადაგზავნა და ის, თუ ვინ მართავს თითოეულ ნაწილს. კომუტატორების დათვლა ამ სამიდან არცერთზე არაფერს ამბობს. გადაწყვიტეთ პოლიტიკიდან და მარშრუტიდან, შემდეგ კი ტოპოლოგიამ გადაწყვეტილებას მიჰყვეს.

ტრაფიკის პოპულაციებსაც ცალ-ცალკე მოეპყარით. დისტანციური წვდომის აუზები, საიტიდან საიტზე პრეფიქსები და კერძო ხაზის ქსელები შეიძლება ერთ მოწყობილობას იზიარებდეს და მაინც სხვადასხვა წესი სჭირდებოდეს, რადგან მათი იდენტობა და რისკი განსხვავდება. ერთი პოპულაციისთვის დაწერილი წესი ჩუმად ფარავს დანარჩენებს, როცა ისინი მისამართების გეგმას იზიარებენ.

შეამოწმეთ მარცხი და მართვა თითოეული განლაგებისთვის

თითოეულ განლაგებას აქვს მარცხის რეჟიმი და სასარგებლო კითხვაა, რა მუშაობს ჯერ კიდევ, როცა კომპონენტი ჩერდება. ერთ მკვდარ მოწყობილობაზე რამდენიმე ლოგიკური ინტერფეისი დამოუკიდებელ აღდგენას არ გაძლევთ და იმავე კვებას ან იმავე ადმინისტრატორს რომ იზიარებს ქვედა firewall, ის მეორე საზღვარი არ არის. ჰკითხეთ, სად გადის მართვის გზა, რადგან მხოლოდ გვირაბით ხელმისაწვდომი კონსოლი საერთოდ არ არის აღდგენის გზა; ssh [email protected] true გვირაბის გარედან გაშვება ყველაზე იაფი გზაა იმის დასამტკიცებლად, რომ კონსოლი მასზე არ არის დამოკიდებული. ერთი პლატფორმის ჯგუფური პოლიტიკის დოკუმენტაცია თავის ფილტრს გაშიფვრის შემდეგ და დაშიფვრამდე ტრაფიკზე ათავსებს, რაც ზუსტად ისეთი დასახელებული კაუჭია, რომელიც ნებისმიერ პროდუქტში უნდა მოძებნოთ.

დაწერეთ თითოეული კანდიდატის მარცხის ისტორია აღსრულების ისტორიის გვერდით. განლაგება, რომელიც იმარჯვებს შემოწმებაზე და აგებს აღდგენაზე, გაცვლაა და ისე უნდა ჩაიწეროს, და არა ინციდენტის დროს აღმოჩნდეს.

მიიღეთ დაშვებული და უარყოფილი ნაკადით

დამტკიცებული ტესტის გეგმით შეამოწმეთ სამი რამ რეალური VPN წყაროდან: აპლიკაცია, რომელიც უნდა მუშაობდეს, რესურსი, რომელიც არ უნდა, და მიმართულება, საიდანაც პასუხი ბრუნდება. უარი არის მტკიცებულება, რომ პოლიტიკა ჩართულია, ხოლო დაშვებული ნაკადი მხოლოდ გზის არსებობას ამტკიცებს.

შეინახეთ არჩეული გზა და პოლიტიკის შედეგი ერთად, რადგან გზის გარეშე შედეგი არ მეორდება, ხოლო შედეგის გარეშე გზას ვერ დაიცავთ. ეს წყვილი გაცილებით უფრო სასარგებლოა დაკავშირების წერტილის არჩევისთვის, ვიდრე ნებისმიერი მტკიცება იმის შესახებ, თუ რომელი კომუტაციის ფენაა თავისთავად უფრო უსაფრთხო.