VPN аркылуу туташкан эки кеңсе ортосундагы кирүүнү кантип чектөө керек

Сайт-сайт туннели бир гана суроого жооп берет, эки кеңсе пакеттерди алмаша алабы, ал эми маанилүүсүн ачык калтырат: кайсы филиалдын түзмөгү кайсы борбордук кызматка жете алат. Туннелди өз ара ишеним деп эсептөө конок ноутбугунун каржы сервери менен бир эле жолго түшүшүнүн жолу. Чечим жакшыраак туннель эмес, шифр чечилгенден кийин колдонулуучу ачык уруксат тизмеси. Бул колдонмо ошол тизмени аныктамадан далилденген баш тартууга чейин алып барат.

Ушул тартипте иштеңиз жана төмөнкү саясат кадамдары өтпөйүнчө туннелдин маршрутун кеңейтпеңиз.

Дарбазага тийүүдөн мурун матрицаны жазыңыз

Пайдалуу сап үч нерсени атайт: булак тобу, багыт хост же кызмат тармагы, жана колдонмо чындыгында колдонгон протокол менен порт. Филиал жана дайын борбору жазуулар эмес. Жеке DNS жана аутентификация кызматтары өз саптарын колдонмо аларсыз иштей албаганда гана алышат.

Булактарды ички тармактын ыңгайлуулугуна эмес, ролуна карап топтоңуз: кызматкерлер, коноктор, администрация. Үчөө тең бир тегиз LAN бөлүшкөндө, дарбаза аларды тармак деңгээлинде ажырата албайт, ошондуктан инсандыкты көзөмөлдөө же сегменттөө биринчи келиши керек. Андан кийин матрицаны ар бир сапта ээси жана карап чыгуу күнү менен жазуу түрүндө бекитиңиз.

Пакеттер шифри чечилген жерде колдонуңуз

IKE жана ESP'ге уруксат берген эрежелер тышкы туннелди гана курат. Ички трафик туннел интерфейсине ачык келет, жана уруксат тизмесинин орду дал ошол жерде: шифрин чечүүчү түзмөктөгү жөнөтүү чынжыры, демейки таштоо, матрицанын ар бир сабына бир эреже. Linux дарбазаларында бул жөнөтүүнүн күйгүзүлгөнүн жана чыпкалоо эрежелеринин физикалык каналда эмес, туннел түзмөгүндө экенин билдирет, strongSwan жөнөтүү колдонмосу айткандай.

Трафик селекторлору маршруттоо чечими, авторизация чечими эмес. Эки ички тармакты тең камтыган кенен селектор маршруттоо үчүн туура болушу мүмкүн, бирок firewall дагы деле бир хостко TCP 443'кө гана уруксат берет. Селектор туннел үчүн сүйлөшүлөт жана ага эмне кире аларын сүрөттөйт, белгилүү бир түзмөк эмнени колдоно аларын эмес. Селектор кенен болгондуктан firewall эрежесин эч качан кенейтпеңиз.

iptables -A FORWARD -i tun0 -s 10.20.0.0/24 -d 10.10.5.10 -p tcp --dport 443 -j ACCEPT
iptables -A FORWARD -i tun0 -j DROP

NAT жана кабатташкан ички тармактар эрежелерди өзгөртөт

Филиал дарбазасы туннелге чейин ар бир хостту бир дарекке которсо, булакка негизделген ар бир сап ошол бир дарекке сиңип кетет. Же туннел трафигин которууну токтотуңуз, же эрежелер башка нерсеге, мисалы которууга чейин жазылган баштапкы булак дарегине таянышы керек экенин кабыл алыңыз. Алыскы тарапта да ушундай көйгөй бар, анткени багыт хост баштапкыны эмес, NAT'тан кийинки даректи көрөт.

Кабатташкан диапазондор экинчи тузак. Экөө тең 192.168.1.0/24 колдонгон эки кеңсени бир тарабын картасыз бир саясат таблицасында сүрөттөө мүмкүн эмес, ал эми карталоо кагылышпаган даректөөнү алмаштырбайт. Кийин чечүүгө туура келе турган эрежелерди жазганга чейин планды оңдоңуз.

Баш тартууну далилдеңиз, жалгыз ийгиликти эмес

Бир гана уруксат берилген колдонмону сыноо абдан азды далилдейт, анткени жогорураак жердеги бош эреже ушундай эле натыйжа берет.

Кадимки филиал түзмөгүнөн көздөлгөн кызматка жетип, бүт сессиянын иштешин ырастаңыз. Андан кийин жабык калышы керек болгон багытты, мисалы филиалга тиешеси жок сервердеги административдик портту сынап көрүңүз, жана аны таштаган эсептегичти же журнал жазуусун окуңуз. Эрежелер жыйындысын иштешин текшерүү үчүн өчүрүү сыноону жараксыз кылат жана сиз карап турганда дарбазаны ачык калтырат.

Тизмени тирүү кармаңыз

Колдонмолор орун алмаштырат, ал эми өз колдонмосунан узак жашаган эреже эч кимге таандык эмес тешикке айланат. Карап чыгуу күнүн сапка тиркеңиз жана кызмат дарегин алмаштырганда селектордун көлөмү менен firewall эрежесин ошол эле тейлөө кадамында өзгөртүңүз.

Хост деңгээлиндеги чектөөлөр туннелдин артында да маанилүү: сервердин өз firewall'ы филиал диапазонун өзү жарыялаган кызмат үчүн гана кабыл алышы керек. Шайкеш келген эки катмарды текшерүү толук ишенилген бир катмардан оңоюраак.