Шифры ачылган жолду тартыңыз: VPN түзмөгү саясатты кайда колдонот
Шифрленген угуучуда токтогон диаграмма маанилүү саясатты көрсөтпөйт. Шифры ачылган жолду тартыңыз, андан кийин суроо эмнени кесип өтөөрүнө карап жайгашууларды салыштырыңыз.
Жабдуучулардын диаграммалары адатта шифрленген угуучуда токтойт, анткени коомдук дареги бар бөлүк ошол. Коопсуздук абалын аныктаган суроо — шифр ачылгандан кийин эмне болот, пакет кадимки IP болуп, маршруттоо таблицасы уруксат берген бардык жерге жете алат. Эгер бул бөлүктү эч ким тартпаса, анын ээси да жок. Төмөнкү нускама адегенде ошону тартат, андан кийин шифры ачылган суроо чындыгында эмнени кесип өтөөрүнө карап жайгашууларды салыштырат.
Пакетти шифр ачылгандан кийин тартыңыз, мурун эмес
Сырткы жол — жабдуучулар документтеген бөлүк: коомдук акыркы чекит, байланышты кабыл алган транспорт саясаты жана аны бүтүргөн кызмат. Ички жол пакет туннелдин аталышын жоготкон учурда башталат, андан ары аны туннелге эч кандай тиешеси жок маршруттоо жана чыпкалоо эрежелери башкарат. Экөөнү бир баракка кой, анткени биринчисин гана көрсөткөн диаграмма киргизүү менен авторизация бир чечим деп кыйытмалайт. Андай эмес, жана алардын ортосундагы боштук — жайгашуулардын көбү ката кетире турган жер.
Ички бөлүгүн жебе катары эмес, аталган түзмөк түрлөрү менен номерленген ырааттуулук катары жазыңыз. Жебе суроонун чыпкадан өтөөрүн жашырат, ал эми өтүү же өтпөө — бүткүл маселе. Төмөнкү ар бир кадам түзмөктү жана ошол жерде аракеттенген эрежелер жыйындысын атайт, ошондуктан жок чыпка сызык менен кыйытмаланган нерсе эмес, боштук катары көрүнөт.
- Алыскы кардар: туннелди түзгөн колдонуучунун түзмөгү.
- Четки саясат: сырткы транспортту коомдук угуучуга кабыл алган эрежелер жыйындысы.
- Бүтүрүүчү түзмөк: пакетти дешифрлеп, аны кадимки IPге берген VPN акыркы чекити.
- Ички чыпка: кардардан кызматка трафикти чектеген багыттоо же коопсуздук тобунун эрежелеринин жыйындысы.
- Колдонмо хост: шифры ачылган суроону кабыл алган кызмат.
Эки саясат, эки ээ
Сырткы саясат ким туннель түзө аларына жооп берет жана ал бүтүрүүчү кызматка транспортту кабыл алган эрежелерде көрүнөт. Ички саясат ырасталган колдонуучу кайсы кызматка жете аларына жооп берет жана ал багыттоо эрежелеринде, коопсуздук топторунда же колдонмонун өзүндө жашайт. Бир түзмөк экөөнү тең кармай алат, ал эми бир нече түзмөктүү долбоордо экөө тең болот. Аларды өз-өзүнчө атоо гана колдонуучу колдонмого жетпегенде кайсынысы иштен чыкканын айтууга мүмкүндүк берет.
Сертификаттар жана көп фактордуу аутентификация сыяктуу кабыл алуу көзөмөлдөрү инсандыкка гана жооп берет, башка эч нерсеге. Алар жайгашууну чечпейт жана колдонуучу ичке киргенден кийин ресурс боюнча уруксат бербейт.
Жайгашуу суроо кайсы чекти кесип өтөрүн чечет
Үч жайгашуу кеңири таралган жана ар бири шифры ачылган суроо кайсы чекти кесип өтөрүн өзгөртөт. Аларды ошол жерде эмне бүтөрүнө, эмне ачык текстти көрө аларына, кайсы көзөмөл дагы эле суроону четке кага аларына жана түзмөк менен бирге эмне иштен чыгарына карап салыштырыңыз. Төмөнкү таблица жалпы суроонун ордуна ушул төрт тилкени колдонот, анткени ар бир жооп өзүнчө долбоордук чечим.
| Placement | What terminates there | What sees plaintext | Which control can still deny | Failure domain |
|---|---|---|---|---|
| Termination in a dedicated segment | A dedicated VPN endpoint | The endpoint and anything on its segment | The filter between that segment and the application | The segment path can bypass the filter if no rule sits on it |
| Termination on the edge firewall | The firewall's public listener | The firewall, after decapsulation | The firewall's inner rule set | Admission and inspection fail together |
| Termination on the protected LAN | The appliance's LAN leg | Every host on the protected LAN | Only a host control or a downstream gateway | The appliance and the protected hosts fail together |
Үчүнчү жайгашуу — аткарууну унчукпай алып салган жайгашуу, анткени корголгон сегменттеги бөлүк түзмөккө диаграмма көрсөтпөшү мүмкүн болгон түз жол берет. Сүрөттү эмес, интерфейстерди жана маршруттарды текшериңиз: ip route get 10.20.5.10 пакеттин кайсы интерфейстен чыгарын билдирет, ал эми жооп көбүнчө долбоор болжолдогон жооп эмес. Өрт дубалынын позициялар ортосундагы трафикти көзөмөлдөө боюнча классикалык ролу, төмөнкү документте сүрөттөлгөндөй,NIST SP 800-41 бул жерде пайдалуу сыноо, анткени корголгон тармакка чексиз бөлүгү бар түзмөк көп нерсени көзөмөлдөбөйт. Маршрут издөө презентациядагы диаграммадан акыйкат диаграмма.
Администрация өзүнүн ачык уруксат берилген жолуна таандык. Колдонуучуларга колдонмого жетүүгө уруксат берүү эч качан аларга түзмөктүн башкаруу интерфейсине жетүүгө уруксат берүүнү талап кылбайт, жана эки уруксатты ар башка эрежелерден берүү керек. Эки жолду өз-өзүнчө аудиттен өткөрүңүз, анткени жалпы эреже кайсынысы ачылганын жашырат.
Которуу төмөнкү эрежелер эмнени көрө аларын өзгөртөт
Булак дарегин которуу ыңгайлуу жана ал маалыматты жок кылат. masquerade'ден кийин ар бир кардар түзмөккө окшошот, ошондуктан колдонуучуларды айырмалоо үчүн жазылган төмөнкү эреже муну мындан ары кыла албайт. Бул журнал маселеси эле эмес, бул саясат маселеси: кардар дарегине бекитилген эреже унчукпай шлюзга бекитилген эрежеге айланат. Эгер колдонуучу боюнча саясат маанилүү болсо, булакты сактаңыз же саясатты которууга чейин колдонуңуз.
Жооп жолу да ушундай текшерүүгө татыктуу. Бара турган жер кайтарылуучу пакет үчүн кайсы маршрутту тандаарын жазып алыңыз, анткени асимметриялык кайтуу абалды текшерүүнү айланып өтүп, орногон соң токтоп калган байланышты жаратат. Эки багыт тең сиз тарткан чекти кесип өтүшү керек, болбосо чек — жасалга.
sudo tcpdump -ni inside0 host 10.20.5.10
ip route get 10.20.5.10
sudo iptables -t nat -S POSTROUTINGБир уруксат берилген жана бир четке кагылган операцияны кабыл алыңыз
Башкаруу хостунен эмес, чыныгы алыскы кардардан сынаңыз, анткени башкаруу хості адатта колдонуучу эч качан болбой турган жерде отурат. Бир уруксат берилген операция жол иштеп жатканын далилдейт, ал эми бир четке кагылган операция саясат жок дегенде бир нерсе кылып жатканын далилдейт. Ар бир жайгашуу өзгөрүүсүнөн кийин экөөнү тең иштетиңиз жана колдонулган булак инсандыгын жана бара турган жерди жазып алыңыз. Тек гана ийгиликти далилдеген сыноо туура эрени жок эреден айырмалай албайт.
Андан кийин абалды өзгөрткөн учурларды сынаңыз: кайра туташуу, ачкыч айлануусунан ашык жашаган сессия жана түзмөктүн өзүнүн иштен чыгышы. Жаңыртууларды, сыйымдуулукту жана калыбына келтирүүнү ошол эле жайгашуунун бөлүгү катары салыштырыңыз, анткени бир нече логикалык көзөмөлдү көтөргөн бир түзмөк — бир нече белгиси бар бир бузулуу домени. Жалпы административдик ыйгарым укук же чексиз маршрут өзү түзүшү керек болгон чекти жеңсе, экинчи куту да көз карандысыз эмес.
Акыркы чекитти, шифры ачылган жолду жана аны чектеген көзөмөлдү документтештириңиз. Бул үч сап ишке ашыруу кандай аталбасын маанисин сактайт.