VPN арқылы қосылған екі кеңсе арасындағы қатынасты қалай шектеу керек

Сайт-сайт туннелі бір ғана сұраққа жауап береді, екі кеңсе пакеттер алмаса ала ма, ал маңыздысын ашық қалдырады: қай филиал құрылғысы қай орталық қызметке жете алады. Туннельді өзара сенім деп санау қонақ ноутбугінің қаржылық сервермен бір бағытта болып қалуының жолы. Шешім жақсырақ туннель емес, шифрдан шығарудан кейін қолданылатын айқын рұқсат тізімі. Бұл нұсқаулық сол тізімді анықтамадан дәлелденген бас тартуға дейін жеткізеді.

Осы тәртіппен жұмыс істеңіз және төмендегі саясат қадамдары өтпейінше туннель маршрутын кеңейтпеңіз.

Қақпаға тиіспес бұрын матрицаны жазыңыз

Пайдалы жол үш нәрсені атайды: дереккөз тобы, межелі хост немесе қызмет желісі, және қолданба шынында пайдаланатын протокол мен порт. Филиал мен деректер орталығы жазба емес. Жеке DNS және аутентификация қызметтері өз жолдарын тек қолданба оларсыз жұмыс істей алмағанда ғана алады.

Дереккөздерді ішкі желінің қолайлылығына емес, рөліне қарай топтаңыз: қызметкерлер, қонақтар, әкімшілік. Үшеуі бір тегіс LAN-ды бөліскенде, қақпа оларды желі деңгейінде ажырата алмайды, сондықтан сәйкестендіру бақылауы немесе сегменттеу бірінші келуі керек. Содан кейін матрицаны әр жолда иесі мен қарау күнімен бірге жазбаша түрде бекітіңіз.

Пакеттер шифрынан шығарылатын жерде қолданыңыз

IKE мен ESP-ге рұқсат беретін ережелер тек сыртқы туннельді құрады. Ішкі трафик туннель интерфейсіне ашық түрде келеді, және рұқсат тізімі дәл сол жерде: шифрды шешетін құрылғыдағы жіберу тізбегі, әдепкі тастау, матрицаның әр жолына бір ереже. Linux қақпаларында бұл жіберудің қосулы екенін және сүзгі ережелерінің физикалық арнада емес, туннель құрылғысында екенін білдіреді, strongSwan жіберу нұсқаулығы айтқандай.

Трафик селекторлары маршруттау шешімі, авторизация шешімі емес. Екі ішкі желіні де қамтитын кең селектор маршруттау үшін дұрыс болуы мүмкін, бірақ firewall әлі де бір хостқа тек TCP 443-ке рұқсат береді. Селектор туннель үшін келісіледі және оған не кіре алатынын сипаттайды, белгілі бір құрылғы нені пайдалана алатынын емес. Селектор кең болғандықтан firewall ережесін ешқашан кеңейтпеңіз.

iptables -A FORWARD -i tun0 -s 10.20.0.0/24 -d 10.10.5.10 -p tcp --dport 443 -j ACCEPT
iptables -A FORWARD -i tun0 -j DROP

NAT және қабаттасатын ішкі желілер ережелерді өзгертеді

Филиал қақпасы туннельге дейін әр хостты бір мекенжайға аударса, дереккөзге негізделген әр жол сол бір мекенжайға сіңіп кетеді. Не туннель трафигін аударуды тоқтатыңыз, не ережелер басқа нәрсеге, мысалы аударуға дейін жазылған бастапқы дереккөз мекенжайына сүйенуі керек екенін қабылдаңыз. Алыс жақта да сол мәселе бар, өйткені межелі хост бастапқыны емес, NAT-тан кейінгі мекенжайды көреді.

Қабаттасатын ауқымдар екінші тұзақ. Екеуі де 192.168.1.0/24 пайдаланатын екі кеңсені бір жағын салыстырмай бір саясат кестесінде сипаттау мүмкін емес, ал салыстыру қақтығыспайтын мекенжайлауды алмастырмайды. Кейін шешуге тура келетін ережелерді жазбас бұрын жоспарды түзетіңіз.

Бас тартуды дәлелдеңіз, тек сәттілікті емес

Тек рұқсат етілген қолданбаны сынау өте азды дәлелдейді, өйткені жоғарырақ жердегі рұқсатшыл ереже дәл сол нәтиже береді.

Кәдімгі филиал құрылғысынан көзделген қызметке жетіп, бүкіл сессияның жұмыс істейтінін растаңыз. Содан кейін жабық қалуы тиіс межелі орынды, мысалы филиалға қатысы жоқ сервердегі әкімшілік портты сынап көріңіз, және оны тастаған санауышты немесе журнал жазбасын оқыңыз. Ережелер жиынтығын оның жұмыс істейтінін тексеру үшін өшіру сынақты жарамсыз етеді және сіз қарап тұрғанда қақпаны ашық қалдырады.

Тізімді тірі ұстаңыз

Қолданбалар орын ауыстырады, ал өз қолданбасынан ұзақ өмір сүрген ереже ешкімге тиесілі емес тесікке айналады. Қарау күнін жолға тіркеңіз және қызмет мекенжайын ауыстырғанда селектор ауқымы мен firewall ережесін сол бір қызмет көрсету қадамында өзгертіңіз.

Хост деңгейіндегі шектеулер туннельдің артында да маңызды: сервердің өз firewall-ы филиал ауқымын тек өзі жариялайтын қызмет үшін қабылдауы керек. Сәйкес келетін екі қабатты тексеру толық сенетін бір қабаттан оңайырақ.