Шифрдан шығарғаннан кейін: VPN трафигіңізді қай саясат бірінші көреді

VPN ағыны толық шифрланған және толық аутентификацияланған болса да, ешкім жоспарламаған жерге түсуі мүмкін. Қосқан кабель ішкі пакетті қай ереженің өңдейтінін анықтамайды; оны саясат ілгегі мен маршрут анықтайды. Сондықтан рак диаграммасында бірдей көрінетін екі дизайн мүлдем басқаша орындалуы мүмкін. Олардың арасында таңдау шифры ашылған ағынды бірінші көретін бақылауды атаудан басталады.

Порт бойынша емес, саясат ілгегі бойынша шешіңіз

Әр VPN платформасы жібермес бұрын шифры ашылған трафикті белгілі бір нүктеде бағалайды, және бұл нүктенің конфигурацияда аты бар. Бір платформада бұл топтық саясат сүзгісі, екіншісінде интерфейс саясаты немесе аймақ жұбы, ал маршруттайтын құрылғыда жай ғана forward тізбегі болуы мүмкін. Ілгек ережені орындайды, ал коммутатор порты тек кабель аяқталатын орын. Ілгекті табу — бірінші шешім, өйткені қалғанының бәрі оған қатысты орналасу.

Аппаратты қарастырмас бұрын ағынды жазыңыз: кім көз, қайда барады, қай протокол тасиды және қай қызмет рұқсат етілген. Содан кейін осы төрт фактінің әрқайсысын орындайтын бақылауды табыңыз.

Екі жол, орындаудың екі түрлі тарихы

Екі пішін жиі кездеседі және әрқайсысы басқа талапқа дұрыс болуы мүмкін.

endpoint -> shared inside subnet -> server
endpoint -> dedicated transit -> policy firewall -> server subnet

Бірінші пішін қақпада қажеттінің бәрін орындай алады, егер қақпа саясаты сол межеге арналып жазылса және серверде оны айналып өтетін жол болмаса. Екінші пішін шекара қосады, бірақ маршруттар мен саясат трафикті шынымен одан өткізсе ғана. Соңғы нүктемен бір сегментте тұрған сервер ойдан шығарылған аралық секірісті ешқашан қайталамауы мүмкін. Диаграмма ниетті көрсетеді, ал маршрут кестесі не болып жатқанын көрсетеді.

Суретпен емес, маршрут іздеуімен тексеріңіз. Пакет шығатын интерфейс және оның таңдаған келесі секірісі екінші пішіннің жобаланғандай жұмыс істейтінін анықтайды.

ip route get 10.30.7.20
sudo iptables -S FORWARD
sudo tcpdump -ni inside0 host 10.30.7.20

Топологияны оқшаулаудан ажыратыңыз

Ішкі желіні бөлісу орынды сенімсіз етпейді, ал арнайы транзит оны қорғалған етпейді. Шешетін нәрсе — нақты қолданылатын шектеу, нақты болатын жіберу және әр бөлікті кім басқаратыны. Коммутаторларды санау осы үшеуінің ешбірі туралы ештеңе айтпайды. Саясат пен маршруттан шешім қабылдаңыз, содан кейін топология шешімді ұстансын.

Трафик популяцияларын да бөлек ұстаңыз. Қашықтан қатынау пулдары, сайттан сайтқа префикстер және жеке желілер бір құрылғыны бөлісіп, бәрібір түрлі ережелерді талап етуі мүмкін, өйткені олардың бірегейлігі мен тәуекелі әртүрлі. Бір популяцияға жазылған ереже мекенжай жоспарын бөліскенде қалғандарын үнсіз жауып тастайды.

Әр орналасу үшін ақау мен басқаруды тексеріңіз

Әр орналасудың ақау режимі бар, ал пайдалы сұрақ — компонент тоқтағанда не әлі жұмыс істейді. Бір өлі құрылғыдағы бірнеше логикалық интерфейс тәуелсіз қалпына келтіру бермейді, ал бірдей қуат көзін немесе бірдей әкімшіні бөлісетін төменгі firewall екінші шекара емес. Басқару жолы қайдан өтетінін сұраңыз, өйткені тек туннель арқылы қолжетімді консоль мүлде қалпына келтіру жолы емес; ssh [email protected] true туннельден тыс жерден іске қосу — консольдің оған тәуелді еместігін дәлелдеудің ең арзан жолы. Бір платформаның топтық саясат құжаттамасы сүзгісін шифрдан кейінгі және шифрлауға дейінгі трафикке қояды, бұл кез келген өнімде іздеуге тиіс дәл сондай аталған ілгек.

Әр кандидаттың ақау тарихын орындалу тарихының қасына жазыңыз. Тексеруде жеңіп, қалпына келтіруде ұтылатын орналасу — бұл айырбас, оны оқиға кезінде тапқаннан гөрі солай жазу керек.

Рұқсат етілген және тыйым салынған ағынмен қабылдаңыз

Бекітілген сынақ жоспарымен нақты VPN көзінен үш нәрсені тексеріңіз: жұмыс істеуі керек қолданба, жұмыс істемеуі керек ресурс және жауап қайтатын бағыт. Бас тарту — саясаттың қосылғанының дәлелі, ал рұқсат етілген ағын тек жолдың бар екенін дәлелдейді.

Таңдалған жолды және саясат нәтижесін бірге сақтаңыз, өйткені жолсыз нәтижені қайталау мүмкін емес, ал нәтижесіз жолды қорғау мүмкін емес. Бұл жұп қосылу нүктесін таңдау үшін қай коммутация қабаты табиғи түрде қауіпсіз деген кез келген тұжырымнан әлдеқайда пайдалы.