Шифры ашылған жолды салыңыз: VPN құрылғысы саясатты қайда қолданады

Жеткізушілердің диаграммалары әдетте шифрланған тыңдаушыда тоқтайды, өйткені жария мекенжайы бар бөлік сол. Қауіпсіздік жағдайын айқындайтын сұрақ — шифрды ашқаннан кейін не болады, пакет қарапайым IP-ге айналып, маршруттау кестесі рұқсат ететін барлық жерге жете алады. Егер бұл бөлікті ешкім салмаса, оның иесі де жоқ. Төмендегі нұсқаулық алдымен соны салады, содан кейін шифры ашылған сұраныс шын мәнінде нені кесіп өтетініне қарай орналасуларды салыстырады.

Пакетті шифрды ашқаннан кейін салыңыз, оған дейін емес

Сыртқы жол — жеткізушілер құжаттайтын бөлік: жария соңғы нүкте, қосылымды қабылдайтын тасымал саясаты және оны аяқтайтын қызмет. Ішкі жол пакет туннель тақырыбынан айырылған сәтте басталады, содан әрі оны туннельге қатысы жоқ маршруттау және сүзу ережелері басқарады. Екеуін бір бетке қойыңыз, өйткені тек біріншісін көрсететін диаграмма қабылдау мен авторизация бір шешім деп меңзейді. Олай емес, және дәл олардың арасындағы алшақтық орналасулардың көбісі қателесетін жер.

Ішкі бөлікті көрсеткі ретінде емес, атаулы құрылғы түрлерімен нөмірленген реттілік ретінде жазыңыз. Көрсеткі сұраныстың сүзгіден өтетінін жасырады, ал өту немесе өтпеу — бүкіл мәселе. Төмендегі әр қадам құрылғыны және сол жерде әрекет ететін ережелер жиынтығын атайды, сондықтан жоқ сүзгі сызықпен меңзелген нәрсе емес, олқылық ретінде көрінеді.

1. Қашықтағы клиент: туннельді жасайтын пайдаланушы құрылғысы.
2. Шеткі саясат: сыртқы тасымалды жария тыңдаушыға қабылдайтын ережелер жиынтығы.
3. Аяқтайтын құрылғы: пакетті дешифрлеп, оны қарапайым IP-ге беретін VPN соңғы нүктесі.
4. Ішкі сүзгі: клиенттен қызметке трафикті шектейтін қайта бағыттау немесе қауіпсіздік тобы ережелерінің жиынтығы.
5. Қолданба хості: шифры ашылған сұранысты қабылдайтын қызмет.

Екі саясат, екі ие

Сыртқы саясат кім туннель орната алатынына жауап береді және ол аяқтайтын қызметке тасымалды қабылдайтын ережелерде көрінеді. Ішкі саясат расталған пайдаланушы қай қызметке жете алатынына жауап береді және ол қайта бағыттау ережелерінде, қауіпсіздік топтарында немесе қолданбаның өзінде өмір сүреді. Бір құрылғы екеуін де ұстай алады, ал бірнеше құрылғысы бар жобада екеуі де болады. Оларды бөлек атау дәл сол пайдаланушы қолданбаға жете алмағанда қайсысы істен шыққанын айтуға мүмкіндік береді.

Сертификаттар мен көп факторлы аутентификация сияқты қабылдау бақылаулары тек сәйкестікке жауап береді, басқа ештеңеге. Олар орналасуды шешпейді және пайдаланушы ішке кіргеннен кейін ресурс бойынша рұқсат бермейді.

Орналасу сұраныс қай шекараны кесіп өтетінін шешеді

Үш орналасу кең таралған және әрқайсысы шифры ашылған сұраныс қай шекараны кесіп өтетінін өзгертеді. Оларды сол жерде не аяқталатынына, не ашық мәтінді көре алатынына, қай бақылау әлі де сұраныстан бас тарта алатынына және құрылғымен бірге не істен шығатынына қарай салыстырыңыз. Төмендегі кесте жалпы сұрақтың орнына осы төрт бағанды пайдаланады, өйткені әр жауап жеке жобалау шешімі.

Үшінші орналасу — орындауды үнсіз алып тастайтын орналасу, өйткені қорғалған сегменттегі бөлік құрылғыға диаграмма көрсетпеуі мүмкін тікелей жол береді. Суретті емес, интерфейстер мен маршруттарды тексеріңіз: ip route get 10.20.5.10 пакеттің қай интерфейстен шығатынын хабарлайды, ал жауап көбіне жоба болжаған жауап емес. Өрт қабырғасының ұстанымдар арасындағы трафикті бақылаудағы классикалық рөлі, мына құжатта сипатталғандай,NIST SP 800-41 мұнда пайдалы сынақ, өйткені қорғалған желіге шексіз бөлігі бар құрылғы көп нәрсені бақыламайды. Маршрутты іздеу презентациядағы диаграммадан адал диаграмма.

Әкімшілік өзінің айқын рұқсат етілген жолына жатады. Пайдаланушыларға қолданбаға жетуге рұқсат беру ешқашан оларға құрылғының басқару интерфейсіне жетуге рұқсат беруді талап етпейді, және екі рұқсатты әртүрлі ережелерден беру керек. Екі жолды бөлек аудиттен өткізіңіз, өйткені ортақ ереже қайсысы ашылғанын жасырады.

Аудару төмендегі ережелердің нені көре алатынын өзгертеді

Бастапқы мекенжайды аудару ыңғайлы және ол ақпаратты жояды. masquerade-дан кейін әр клиент құрылғыға ұқсайды, сондықтан пайдаланушыларды ажырату үшін жазылған төмендегі ереже бұдан былай оны істей алмайды. Бұл тек журнал мәселесі емес, бұл саясат мәселесі: клиент мекенжайына бекітілген ереже үнсіз түрде шлюзге бекітілген ережеге айналады. Егер пайдаланушы бойынша саясат маңызды болса, бастапқы мекенжайды сақтаңыз немесе саясатты аударуға дейін қолданыңыз.

Жауап жолы да сол тексеруге лайық. Баратын жер қайтару пакеті үшін қай маршрутты таңдайтынын жазып алыңыз, өйткені асимметриялық қайтару күймен тексеруді айналып өтеді және орнаған соң тұрып қалатын қосылым тудырады. Екі бағыт та сіз салған шекараны кесіп өтуі керек, әйтпесе шекара — әшекей.

sudo tcpdump -ni inside0 host 10.20.5.10
ip route get 10.20.5.10
sudo iptables -t nat -S POSTROUTING

Бір рұқсат етілген және бір қабылданбаған операцияны қабылдаңыз

Басқару хостінен емес, нақты қашықтағы клиенттен сынаңыз, өйткені басқару хості әдетте пайдаланушы ешқашан болмайтын жерде отырады. Бір рұқсат етілген операция жолдың жұмыс істейтінін, ал бір қабылданбаған операция саясаттың тіпті бірдеңе жасайтынын дәлелдейді. Әр орналасу өзгерісінен кейін екеуін де іске қосыңыз және қолданған бастапқы сәйкестік пен баратын жерді жазып алыңыз. Тек сәттілікті дәлелдейтін сынақ дұрыс ережені жоқ ережеден ажырата алмайды.

Содан кейін күйді өзгертетін жағдайларды сынаңыз: қайта қосылу, кілт айналымынан асып тұратын сессия және құрылғының өзінің істен шығуы. Жаңартуларды, сыйымдылықты және қалпына келтіруді сол орналасудың бөлігі ретінде салыстырыңыз, өйткені бірнеше логикалық бақылауды ұстайтын бір құрылғы — бірнеше белгісі бар бір ақаулық домені. Ортақ әкімшілік тіркелгі деректері немесе шектеусіз маршрут өзі құруға тиіс шекараны жеңсе, екінші қорап та тәуелсіз емес.

Соңғы нүктені, шифры ашылған жолды және оны шектейтін бақылауды құжаттаңыз. Бұл үш жол іске асыру қалай аталса да мағынасын сақтайды.