როგორ შევზღუდოთ წვდომა VPN-ით დაკავშირებულ ორ ოფისს შორის

საიტ-საიტ თარელი პასუხობს ერთ კითხვას, შეუძლიათ თუ არა ორ ოფისს პაკეტების გაცვლა, და ღიად ტოვებს მთავარს: რომელი ფილიალის მოწყობილობა რომელ ცენტრალურ სერვისს მიაღწევს. თარელის ურთიერთნდობად მიჩნევა ის გზაა, რომლითაც სტუმრის ლეპტოპი ფინანსური სერვერის იმავე მარშრუტზე აღმოჩნდება. გადაწყვეტა უკეთესი თარელი არ არის, არამედ გაშიფვრის შემდეგ გამოყენებული ცხადი ნებართვების სია. ეს სახელმძღვანელო ამ სიას განსაზღვრებიდან დამტკიცებულ უარამდე მიჰყავს.

იმუშავეთ ამ თანმიმდევრობით და არ გააფართოოთ თარელის მარშრუტი, სანამ ქვემოთ მოცემული პოლიტიკის ნაბიჯები არ გაივლის.

დაწერეთ მატრიცა სანამ კარიბჭეს შეეხებით

სასარგებლო სტრიქონი ასახელებს სამ რამეს: წყაროს ჯგუფი, დანიშნულების ჰოსტი ან სერვისული ქსელი, და ის პროტოკოლი და პორტი, რომელსაც აპლიკაცია რეალურად იყენებს. ფილიალი და მონაცემთა ცენტრი ჩანაწერები არ არის. კერძო DNS და ავთენტიფიკაციის სერვისები საკუთარ სტრიქონებს იმსახურებენ მხოლოდ მაშინ, როცა აპლიკაცია მათ გარეშე ვერ იმუშავებს.

დააჯგუფეთ წყაროები როლის მიხედვით და არა ქვექსელის მოხერხებულობის მიხედვით: პერსონალი, სტუმრები, ადმინისტრირება. როცა სამივე ერთ ბრტყელ LAN-ს იზიარებს, კარიბჭე მათ ქსელის დონეზე ვერ გაარჩევს, ამიტომ იდენტობის კონტროლი ან სეგმენტაცია პირველი უნდა იყოს. შემდეგ მატრიცა წერილობით ჩამოწერეთ, თითოეულ სტრიქონზე მფლობელითა და გადახედვის თარიღით.

გამოიყენეთ იქ, სადაც პაკეტები გაშიფრდება

IKE-ისა და ESP-ის დამშვები წესები მხოლოდ გარე თარელს აშენებენ. შიდა ტრაფიკი ღიად მოდის თარელის ინტერფეისზე და სწორედ იქ არის ნებართვების სიის ადგილი: გადაცემის ჯაჭვი გაშიფვრის მოწყობილობაზე, ნაგულისხმევი ჩამოგდება, ერთი წესი მატრიცის თითოეულ სტრიქონზე. Linux-ის კარიბჭეებზე ეს ნიშნავს ჩართულ გადაცემას და ფილტრის წესებს თარელის მოწყობილობაზე და არა ფიზიკურ არხზე, როგორც განმარტავს strongSwan-ის გადაცემის სახელმძღვანელო.

ტრაფიკის სელექტორები მარშრუტიზაციის გადაწყვეტილებაა და არა ავტორიზაციის. ფართო სელექტორი, რომელიც ორივე ქვექსელს მოიცავს, მარშრუტიზაციისთვის სწორი შეიძლება იყოს, სანამ firewall კვლავ მხოლოდ TCP 443-ის დაშვებას აკეთებს ერთ ჰოსტზე. სელექტორი თარელისთვის მოლაპარაკდება და აღწერს, რა შეიძლება შევიდეს მასში და არა რა შეიძლება გამოიყენოს კონკრეტულმა მოწყობილობამ. არასოდეს გააფართოოთ firewall-ის წესი იმიტომ, რომ სელექტორი ფართოა.

iptables -A FORWARD -i tun0 -s 10.20.0.0/24 -d 10.10.5.10 -p tcp --dport 443 -j ACCEPT
iptables -A FORWARD -i tun0 -j DROP

NAT და გადამფარავი ქვექსელები წესებს ცვლიან

როცა ფილიალის კარიბჭე თარელამდე ყოველ ჰოსტს ერთ მისამართზე თარგმნის, წყაროზე დაფუძნებული ყოველი სტრიქონი იმ ერთ მისამართში იშლება. ან შეწყვიტეთ თარელის ტრაფიკის თარგმნა, ან აღიარეთ, რომ წესებმა სხვა რამეზე უნდა დაეყრდნოს, მაგალითად თარგმნამდე ჩაწერილ თავდაპირველ წყაროს მისამართზე. შორეულ მხარეს იგივე პრობლემა აქვს, რადგან დანიშნულების ჰოსტი ხედავს NAT-ის შემდგომ მისამართს და არა თავდაპირველს.

გადამფარავი დიაპაზონები მეორე ხაფანგია. ორი ოფისი, რომლებიც ორივე 192.168.1.0/24-ს იყენებს, ერთ პოლიტიკის ცხრილში ვერ აღიწერება ერთი მხარის ასახვის გარეშე, და ასახვა არ ცვლის არაშეჯახებად მისამართებას. გაასწორეთ გეგმა სანამ დაწერთ წესებს, რომლებიც მოგვიანებით მოგიწევთ გახსნათ.

დაამტკიცეთ უარი და არა მხოლოდ წარმატება

მხოლოდ ნებადართული აპლიკაციის ტესტირება ძალიან ცოტას ამტკიცებს, რადგან სადღაც ზემოთ დაშვებითი წესი იგივე შედეგს იძლევა.

ჩვეულებრივი ფილიალის მოწყობილობიდან მიაღწიეთ სასურველ სერვისს და დაადასტურეთ, რომ მთელი სესია მუშაობს. შემდეგ სცადეთ დანიშნულება, რომელიც დახურული უნდა დარჩეს, მაგალითად ადმინისტრაციული პორტი სერვერზე, რომელთანაც ფილიალს საქმე არ აქვს, და წაიკითხეთ ის მრიცხველი ან ჟურნალის ჩანაწერი, რომელმაც ის ჩამოაგდო. წესების ნაკრების გამორთვა იმის შესამოწმებლად, მუშაობს თუ არა, ტესტს ბათილად აქცევს და კარიბჭეს ღიად ტოვებს, სანამ უყურებთ.

შეინარჩუნეთ სია ცოცხალი

აპლიკაციები მოძრაობენ და წესი, რომელიც საკუთარ აპლიკაციაზე დიდხანს ცოცხლობს, ხვრელად იქცევა, რომელსაც არავინ ფლობს. მიამაგრეთ გადახედვის თარიღი სტრიქონს და შეცვალეთ სელექტორის ფარგლები და firewall-ის წესი იმავე მოვლის ნაბიჯში, როცა სერვისი მისამართს იცვლის.

ჰოსტის დონის შეზღუდვები თარელის მიღმაც მნიშვნელოვანია: სერვერის საკუთარმა firewall-მა ფილიალის დიაპაზონი მხოლოდ იმ სერვისისთვის უნდა მიიღოს, რომელსაც აქვეყნებს. ორი შეთანხმებული ფენა უფრო ადვილი შესამოწმებელია, ვიდრე ერთი ფენა, რომელსაც სრულად ენდობიან.