No der Entschlësselung: wéi eng Politik gesäit Ären VPN-Trafic als éischt

D’Kabel seet näischt doriwwer, wéi eng Regel de Flux prozedéiert huet. Nennt den Politikshaken an de nächste Sprong, a bewise datt d’Äntwert de selwechte Wee geet.

E VPN-Flux kann perfekt verschlësselt a perfekt authentifizéiert sinn an trotzdem do landen, wou kee geplangt huet. D’Kabel, deen Dir astieft, bestëmmt net, wéi eng Regel de bannenzege Pak prozedéiert; dat maachen den Politikshaken an d’Route. Dofir kënnen zwou Designen, déi op engem Rack-Diagramm gläich ausgesinn, ganz ënnerschiddlech Ëmsetzung hunn. D’Wiel tëschent hinnen fänkt domat un, d’Kontroll ze nennen, déi de entschlësselte Flux als éischt gesäit.

Entscheet nom Politikshaken, net nom Port

All VPN-Plattform bewäertt entschlësselten Trafic zu engem Zäitpunkt, ier se en weiderschëckt, an dee Punkt huet en Numm an der Konfiguratioun. Op enger Plattform ass et e Gruppepolitiksfilter, op enger anerer eng Interfacepolitik oder e Zonepaar, an op engem Apparat, deen routed, kann et just d’forward-Kette sinn. Den Haken ëmsetzt d’Regel, während de Switchport just déi Plaz ass, wou d’Kabel ophält. Den Haken ze fannen ass déi éischt Entscheedung, well alles anescht ass Placéierung par rapport dozou.

Ier Dir op Hardware kuckt, schreift de Flux op: wien d’Quell ass, wou en hi geet, wéi e Protokoll en dréit a wéi eng Servicer erlaabt sinn. Da fannt d’Kontroll, déi all vun deene véier Fakten ëmsetzt.

Zwou Formen, zwou ënnerschiddlech Geschichten

Zwou Formen sinn heefeg, an all kann fir eng aner Ufuerderung richteg sinn.

endpoint -> shared inside subnet -> server
endpoint -> dedicated transit -> policy firewall -> server subnet

Déi éischt Form kann alles Noutwenneges um Gateway ëmsetzen, wann d’Gatewaypolitik fir deen Zil geschriwwe sinn an de Server kee Wee ronderëm huet. Déi zweet Form bäisetzt eng Grenz, awer nëmmen wann d’Routen an d’Politik den Trafic wierklech duerchféieren. E Server am selwechte Segment wéi den Endpunkt follegt vläicht ni dem imaginäre Mëttelsprong. Den Diagramm weist d’Absicht, an d’Routentabell weist, wat geschitt.

Iwwerpréift mat enger Routensich, net mat der Zeechnung. Den Interface, duerch deen e Pak erausgeet, an de nächste Sprong, deen en auswielt, entscheeden, ob déi zweet Form sech esou verhält wéi designéiert.

ip route get 10.30.7.20
sudo iptables -S FORWARD
sudo tcpdump -ni inside0 host 10.30.7.20

Trennt Topologie vun Isolatioun

En Deelnetz ze deelen mécht eng Plaz net onzouverlässeg, an en dedizéierten Transit mécht se net geschützt. Wat entscheet, ass d’Restriktioun, déi tatsächlech ugewannt gëtt, d’Weiderleedung, déi tatsächlech geschitt, a wien all Deel administréiert. Switchë ze zielen seet näischt iwwer eng vun den dräi. Entscheet aus der Politik an der Route, a loosst d’Topologie der Entscheedung follegen.

Behandelt och Trafiksgruppen getrennt. Remote-Access-Poolen, Site-zu-Site-Prefixen a Privatlinne-Netzwierker kënnen een Apparat deelen an trotzdem ënnerschiddlech Regelen brauchen, well hir Identitéit an hire Risiko sech ënnerscheeden. Eng Regel, déi fir eng Grupp geschriwwe gouf, deckt déi aner stëll, wann se en Adressplang deelen.

Préift Feeler a Gestioun fir all Placéierung

All Placéierung huet e Feelermodus, an déi nëtzlech Fro ass, wat nach funktionnéiert, wann eng Komponent stoppt. Méi logesch Interfaces op engem eenzegen doudegen Apparat ginn keng onofhängeg Erhuelung, an eng Firewall ënnen, déi déiselwecht Stroumversuergung oder deen selwechten Administrateur deelt, ass keng zweet Grenz. Frot, wou de Gestiounswee leeft, well eng Konsole, déi nëmmen iwwer den Tunnel erreechbar ass, ass guer kee Wee fir Erhuelung; ssh [email protected] true vun dobaussen dem Tunnel ass dee bëllegste Wee ze beweisen, datt d’Konsole net dovun ofhänkt. D’Dokumentatioun vun der Gruppepolitik vun enger Plattform setzt hire Filter op Trafic no der Entschlësselung a virun der Verschlësselung, genau déi Zort genannten Haken, deen een an all Produkt siche soll.

Schreift d’Feelerstory vun all Kandidat nieft d’Ëmsetzungsstory. Eng Placéierung, déi bei der Inspektioun gewënnt an bei der Erhuelung verléiert, ass en Tausch, an se soll als esou festgehal ginn, amplaz während engem Tëschefall entdeckt ze ginn.

Akzeptéiert mat engem erlaabten an engem refuséierten Flux

Mat engem geneemten Testplang préift dräi Saachen aus der richteger VPN-Quell: eng Applikatioun, déi soll funktionnéieren, eng Ressource, déi net soll, an d’Richtung, aus där d’Äntwert zréckkënnt. D’Refusatioun ass de Beweis, datt d’Politik agebaut ass, während den erlaabten Flux nëmmen beweist, datt et e Wee gëtt.

Bewaart de gewielten Wee an d’Resultat vun der Politik zesummen, well en Resultat ouni Wee net reproduzéierbar ass an e Wee ouni Resultat net verdeedegbar ass. Dee Paar ass vill nëtzlecher fir en Uschlosspunkt ze wielen wéi all Behauptung, wéi eng Switching-Schicht vun Natur aus sécherer ass.

Ähnlech Artikelen