დაშიფრული ტრანზიტი გადამტანზე წვდომას არ იძლევა

ორი დამტკიცებული კარიბჭე გადააქვს დაბალი ნდობის ქსელის ტრაფიკს შეზღუდული ტრანსპორტის ქსელის გავლით. დატვირთვის დაშიფვრა მას გაუგებარს ხდის ჩვეულებრივი ტრანზიტის დამკვირვებლებისთვის და ეს არის ის ნაწილი, რომელსაც ადამიანები პირველად აპროექტებენ და შემდეგ წყვეტენ მასზე ფიქრს. რასაც დაშიფვრა არ აკეთებს, არის იმის განსაზღვრა, თუ რომელ რესურსებზე შეიძლება მიაღწიოს დაბალი ნდობის მხარემ. დიზაინს ორი საზღვარი სჭირდება: ერთი გადატანილი საუბრის ირგვლივ და ერთიც თავად გადამტანზე წვდომის ირგვლივ.

შეასრულეთ ქვემოთ მოცემული ნაბიჯები თანმიმდევრობით და ნებისმიერ ნაბიჯზე წარუმატებლობა მიიჩნიეთ დიზაინის ცვლილებად და არა კონფიგურაციის შესწორებად.

განსაზღვრეთ ორივე საზღვარი კონფიგურაციაზე შეხებამდე

პირველი საზღვარი საუბარია: კარიბჭეების რომელი წყვილები შეიძლება ჩამოაყალიბონ გვირაბი და რომელი შიდა ტრაფიკი დაიშვას მასში. მეორე გადამტანია: რომელ მისამართებსა და სერვისებზე შეუძლიათ დაბალი ნდობის ჰოსტებს მიაღწიონ გვირაბის გარეთ. გუნდები ჩვეულებრივ პირველს აშენებენ და მეორეს მემკვიდრეობით იღებენ ნებისმიერი მარშრუტიზაციისგან, რომელიც უკვე არსებობდა, და ასე ხდება შეზღუდული დიზაინი ჩუმად ფართო. სწორედ ეს მემკვიდრეობაა ჩვეულებრივი ძირეული მიზეზი, როცა მიმოხილვა აღმოაჩენს, რომ დაბალი ნდობის ჰოსტი ესაუბრება იმას, რაც არავის დაუმტკიცებია.

ორივე ჩამოწერეთ მისამართების, პორტებისა და მიმართულებების სიებად. თუ სია ვერ ჩაიწერება, საზღვარი ჯერ არ არის განსაზღვრული.

ნაბიჯი 1: შეზღუდეთ გარე გვირაბი

გადამტანისკენ მიმართულ ინტერფეისზე დაუშვით მხოლოდ ის, რაც გვირაბს სჭირდება: IKE UDP 500 და 4500-ზე ორ კარიბჭის მისამართს შორის, და ESP იქ, სადაც NAT-ის გავლა არ გამოიყენება. უარყავით ყველაფერი დანარჩენი, რაც ამ ინტერფეისზე მოდის, მათ შორის მართვის პროტოკოლები. ESP-ის სპეციფიკაცია მოიცავს დაცვის სერვისებს; ის არაფერს ამბობს იმაზე, თუ გადამტანის რომელი საკუთარი სერვისების გამოყენება შეუძლიათ კარიბჭეებს. გამოხატეთ ეს როგორც ნებართვების მკაფიო სია, რათა ახლად გამოქვეყნებული გადამტანის სერვისი ნაგულისხმევად ხელმისაწვდომი არ გახდეს.

ეს არის წესების ნაკრები, რომელიც დიზაინს ტრანზიტის დიზაინად აქცევს და არა peering-შეთანხმებად.

შეამოწმეთ ეს დაბალი ნდობის მხრიდან და არა კარიბჭის კონსოლიდან. იქაური ჰოსტი უნდა ვერ აღწევდეს გადამტანის DNS სერვერამდე იმაზე ადრეც, სანამ გვირაბი ამოქმედდება.

ნაბიჯი 2: გადაწყვიტეთ, რას აწვდის შორეული კარიბჭე

შორეულ ბოლოში აღდგენილი ტრაფიკი კონკრეტულ ადგილას უნდა წავიდეს. განსაზღვრეთ, რომელი შიდა სერვისებია ნებადართული, რომელი წყაროს დიაპაზონებიდან და მოსალოდნელია თუ არა პასუხების სიმეტრიულობა. ცალკე გადახედეთ მართვის წვდომას, რადგან იგივე კარიბჭე ხშირად ამჟღავნებს ადმინისტრაციულ ინტერფეისს, რომელიც არასდროს ყოფილა ტრანზიტის გეგმის ნაწილი.

დიაგრამა, რომელიც წარმატებულ გაშიფვრაზე ჩერდება, გამოტოვა ყველაზე მნიშვნელოვანი გადაწყვეტილება.

ნაბიჯი 3: შეინარჩუნეთ მფლობელობა ფენების მიხედვით

ტრანზიტის აღჭურვილობა კვლავ იღებს და გადასცემს გარე პაკეტებს, ამიტომ მას პაჩები და სიმძლავრის დაგეგმვა სჭირდება. გვირაბის ბოლო წერტილები ამუშავებენ დაცულ პროტოკოლს და შიდა ტრაფიკს ამჟღავნებენ თავიანთ გადაცემის გზას, ამიტომ მათ საკუთარი წესები და საკუთარი მონიტორინგი სჭირდებათ. საბოლოო აპლიკაციები ამუშავებენ დატვირთვას, და გაუმჭვირვალე დატვირთვა არ არის მტკიცებულება იმისა, რომ გაშიფრული ჩამოტვირთვა უვნებელია.

თითოეულ ფენას დაუნიშნეთ მფლობელი. მფლობელის გარეშე დარჩენილი ფენები სწორედ ისინი არიან, რომლებიც იხრებიან.

ნაბიჯი 4: გადაამოწმეთ და შემდეგ გადაეცით ორგანოს

გადაამოწმეთ გარე გზა გვირაბის ამოქმედებითა და გადამტანის წესებით. შემდეგ სცადეთ ყოველი რესურსი, რომელზეც დაბალი ნდობის მხარე არ უნდა მივიდეს, და დაადასტურეთ, რომ წარუმატებლობა უარია და არა მარშრუტის დამალული დროის ამოწურვა. შეამოწმეთ ასევე ხელმისაწვდომობა და რესურსების ლიმიტები, რადგან დაშიფრული კავშირიც შეიძლება გაიჯერდეს.

რეგულირებადი ან სეკრეტული გარემოებისთვის დიზაინი მიიტანეთ პასუხისმგებელ უსაფრთხოების ორგანოსთან და გამოიყენეთ მისი დამტკიცებული გამიჯვნის არქიტექტურა. VPN კონფიგურაცია და კონცეპტუალური ახსნა აკრედიტაციას არ ქმნის. ეს ნაბიჯი საბუთები არ არის; ის წყვეტს, საერთოდ უნდა არსებობდეს თუ არა დიზაინი.