დახაზეთ გაშიფრული გზა: სად ახორციელებს VPN მოწყობილობა პოლიტიკას
დიაგრამა, რომელიც დაშიფრულ მსმენელზე ჩერდება, არ აჩვენებს იმ პოლიტიკას, რაც მნიშვნელოვანია. დახაზეთ გაშიფრული გზა, შემდეგ შეადარეთ განლაგებები იმის მიხედვით, თუ რას კვეთს მოთხოვნა.
მომწოდებლების დიაგრამები ჩვეულებრივ დაშიფრულ მსმენელზე ჩერდება, რადგან სწორედ ამ ნაწილს აქვს საჯარო მისამართი. კითხვა, რომელიც განსაზღვრავს უსაფრთხოების მდგომარეობას, არის ის, თუ რა ხდება გაშიფვრის შემდეგ, როცა პაკეტი ჩვეულებრივ IP-ად იქცევა და შეუძლია მიაღწიოს ყველაფერს, რასაც მარშრუტიზაციის ცხრილი უშვებს. თუ ვინმემ ეს ფეხი არ დახატა, მისი მფლობელიც არ არის. ქვემოთ მოცემული სახელმძღვანელო ჯერ მას ხატავს, შემდეგ კი ადარებს განლაგებებს იმის მიხედვით, თუ რას კვეთს გაშიფრული მოთხოვნა სინამდვილეში.
დახაზეთ პაკეტი გაშიფვრის შემდეგ და არა მანამდე
გარე გზა ის ნაწილია, რომელსაც მომწოდებლები აფიქსირებენ: საჯარო ბოლო წერტილი, სატრანსპორტო პოლიტიკა, რომელიც კავშირს უშვებს, და სერვისი, რომელიც მას ამთავრებს. შიდა გზა იწყება იმ მომენტში, როცა პაკეტი კარგავს გვირაბის სათაურს, და იქიდან მას მართავს მარშრუტიზაციისა და ფილტრაციის წესები, რომლებსაც გვირაბთან არაფერი აქვს საერთო. ორივე ერთ გვერდზე მოათავსეთ, რადგან მხოლოდ პირველის მქონე დიაგრამა გვაფიქრებინებს, რომ დაშვება და ავტორიზაცია ერთი გადაწყვეტილებაა. ასე არ არის და სწორედ მათ შორის არსებულ ნაპრალში ცდება განლაგებების უმეტესობა.
შიდა ფეხი დაწერეთ როგორც დანომრილი მიმდევრობა დასახელებული მოწყობილობის ტიპებით და არა ისრის სახით. ისარი მალავს, გადის თუ არა მოთხოვნა ფილტრს, და გავლა ან არგავლა მთელი კითხვაა. ქვემოთ ყოველი ნაბიჯი ასახელებს მოწყობილობას და იქ მოქმედ წესების ნაკრებს, ასე რომ დაკარგული ფილტრი ჩნდება როგორც უფსკრული და არა როგორც ხაზით მინიშნებული რამ.
- დისტანციური კლიენტი: მომხმარებლის მოწყობილობა, რომელიც გვირაბს ქმნის.
- კიდის პოლიტიკა: წესების ნაკრები, რომელიც გარე ტრანსპორტს საჯარო მსმენელთან უშვებს.
- დამამთავრებელი მოწყობილობა: VPN-ის ბოლო წერტილი, რომელიც დეკაფსულაციას აკეთებს და პაკეტს ჩვეულებრივ IP-ს გადასცემს.
- შიდა ფილტრი: გადამისამართების ან უსაფრთხოების ჯგუფის წესების ნაკრები, რომელიც კლიენტიდან სერვისამდე ტრაფიკს ზღუდავს.
- აპლიკაციის ჰოსტი: სერვისი, რომელიც გაშიფრულ მოთხოვნას იღებს.
ორი პოლიტიკა, ორი მფლობელი
გარე პოლიტიკა პასუხობს, ვის შეუძლია გვირაბის დაყენება, და გამოიხატება იმ წესებში, რომლებიც ტრანსპორტს დამამთავრებელ სერვისამდე უშვებს. შიდა პოლიტიკა პასუხობს, რომელ სერვისამდე შეიძლება ავთენტიფიცირებული მომხმარებლის მისვლა, და ის ცხოვრობს გადამისამართების წესებში, უსაფრთხოების ჯგუფებში ან თავად აპლიკაციაში. ერთ მოწყობილობას შეუძლია ორივეს დატევა, და რამდენიმე მოწყობილობის პროექტს მაინც ორივე აქვს. სწორედ მათი ცალ-ცალკე დასახელება გაძლევთ საშუალებას თქვათ, რომელი ჩავარდა, როცა მომხმარებელი აპლიკაციას ვერ აღწევს.
დაშვების კონტროლი, როგორიცაა სერტიფიკატები და მრავალფაქტორიანი ავთენტიფიკაცია, პასუხობს იდენტობას და სხვა არაფერს. ისინი არ წყვეტენ განლაგებას და არ აძლევენ რესურსის უფლებას მას შემდეგ, რაც მომხმარებელი შიგნით არის.
განლაგება წყვეტს, რომელ საზღვარს კვეთს მოთხოვნა
სამი განლაგება გავრცელებულია და თითოეული ცვლის, რომელ საზღვარს კვეთს გაშიფრული მოთხოვნა. შეადარეთ ისინი იმის მიხედვით, რა მთავრდება იქ, რას შეუძლია ღია ტექსტის დანახვა, რომელ კონტროლს შეუძლია ჯერ კიდევ მოთხოვნის უარყოფა და რა ჩავარდება მოწყობილობასთან ერთად. ქვემოთ მოცემული ცხრილი იყენებს ამ ოთხ სვეტს ზოგადი კითხვის ნაცვლად, რადგან თითოეული პასუხი ცალკე საპროექტო გადაწყვეტილებაა.
| Placement | What terminates there | What sees plaintext | Which control can still deny | Failure domain |
|---|---|---|---|---|
| Termination in a dedicated segment | A dedicated VPN endpoint | The endpoint and anything on its segment | The filter between that segment and the application | The segment path can bypass the filter if no rule sits on it |
| Termination on the edge firewall | The firewall's public listener | The firewall, after decapsulation | The firewall's inner rule set | Admission and inspection fail together |
| Termination on the protected LAN | The appliance's LAN leg | Every host on the protected LAN | Only a host control or a downstream gateway | The appliance and the protected hosts fail together |
მესამე განლაგება არის ის, რაც ჩუმად აშორებს აღსრულებას, რადგან დაცულ სეგმენტზე ფეხი მოწყობილობას პირდაპირ გზას აძლევს, რომელსაც დიაგრამა შეიძლება არ აჩვენებდეს. შეამოწმეთ ინტერფეისები და მარშრუტები და არა სურათი: ip route get 10.20.5.10 იტყობინება, რომელი ინტერფეისით გავა პაკეტი, და პასუხი ხშირად არ არის ის, რაც პროექტმა ივარაუდა. ქსელური ეკრანის კლასიკური როლი — დგომებს შორის ტრაფიკის კონტროლი, როგორც აღწერილიაNIST SP 800-41-ში, აქ სასარგებლო გამოცდაა, რადგან დაცულ ქსელთან შეუზღუდავი ფეხის მქონე მოწყობილობა ბევრს არაფერს აკონტროლებს. მარშრუტის ძებნა უფრო პატიოსანი დიაგრამაა, ვიდრე პრეზენტაციაში მოცემული.
ადმინისტრირება თავის საკუთარ, ცხადად დაშვებულ გზას ეკუთვნის. მომხმარებლებს აპლიკაციამდე მიშვება არასოდეს მოითხოვს მათთვის მოწყობილობის მართვის ინტერფეისამდე მიშვების უფლებას, და ორივე ნებართვა სხვადასხვა წესიდან უნდა გაიცეს. აუდიტი გაუკეთეთ ორივე გზას ცალ-ცალკე, რადგან საერთო წესი მალავს, რომელი გაიხსნა.
თარგმანი ცვლის, რისი დანახვა შეუძლიათ ქვედა წესებს
წყაროს თარგმანი მოსახერხებელია და ანადგურებს ინფორმაციას. masquerade-ის შემდეგ ყოველი კლიენტი მოწყობილობას ჰგავს, ამიტომ მომხმარებლების გასარჩევად დაწერილ ქვედა წესს ეს აღარ შეუძლია. ეს მხოლოდ ლოგირების პრობლემა არ არის, ეს პოლიტიკის პრობლემაა: კლიენტის მისამართზე დაფუძნებული წესი ჩუმად გადაკეთდება გეითვეიზე დაფუძნებულ წესად. თუ მომხმარებლის მიხედვით პოლიტიკა მნიშვნელოვანია, შეინარჩუნეთ წყარო ან გამოიყენეთ პოლიტიკა თარგმანამდე.
პასუხის გზა იმავე შესწავლას იმსახურებს. ჩაიწერეთ, რომელ მარშრუტს ირჩევს დანიშნულება დაბრუნების პაკეტისთვის, რადგან ასიმეტრიული დაბრუნება გვერდს უვლის მდგომარეობის შემოწმებას და ქმნის კავშირს, რომელიც მყარდება და შემდეგ ჩერდება. ორივე მიმართულებამ უნდა გადაკვეთოს თქვენ მიერ დახატული საზღვარი, თორემ საზღვარი მორთულობაა.
sudo tcpdump -ni inside0 host 10.20.5.10
ip route get 10.20.5.10
sudo iptables -t nat -S POSTROUTINGმიიღეთ ერთი დაშვებული და ერთი უარყოფილი ოპერაცია
გამოსცადეთ ნამდვილი დისტანციური კლიენტიდან და არა მართვის ჰოსტიდან, რადგან მართვის ჰოსტი ჩვეულებრივ იქ ზის, სადაც მომხმარებელი არასოდეს იქნება. ერთი დაშვებული ოპერაცია ამტკიცებს, რომ გზა მუშაობს, ხოლო ერთი უარყოფილი — რომ პოლიტიკა საერთოდ რამეს აკეთებს. გაუშვით ორივე ყოველი განლაგების ცვლილების შემდეგ და ჩაწერეთ გამოყენებული წყაროს იდენტობა და დანიშნულება. გამოცდა, რომელიც მხოლოდ წარმატებას ამტკიცებს, ვერ გაარჩევს სწორ წესს დაკარგულისგან.
შემდეგ გამოსცადეთ მდგომარეობის შემცვლელი შემთხვევები: ხელახალი დაკავშირება, გასაღების როტაციას გადარჩენილი სესია და თავად მოწყობილობის ჩავარდნა. შეადარეთ განახლებები, ტევადობა და აღდგენა იმავე განლაგების ნაწილად, რადგან რამდენიმე ლოგიკურ კონტროლს რომ ატარებს ერთი მოწყობილობა, ეს ერთი ჩავარდნის დომენია რამდენიმე იარლიყით. მეორე ყუთიც არ არის დამოუკიდებელი, როცა საერთო ადმინისტრაციული რწმუნება ან შეუზღუდავი მარშრუტი ამარცხებს იმ საზღვარს, რომელიც უნდა შეექმნა.
დააფიქსირეთ ბოლო წერტილი, გაშიფრული გზა და კონტროლი, რომელიც მას ზღუდავს. ეს სამი სტრიქონი აზრს ინარჩუნებს, როგორცაც არ უნდა ერქვას იმპლემენტაციას.