Zeechent den entschlësselte Wee: wou eng VPN-Appliance Politik ëmsetzt
En Diagramm, deen um verschlësselte Listener ophält, weist net déi Politik, op déi et ukënnt. Zeechent den entschlësselte Wee an duerno vergläicht d'Plazéierungen no deem, wat d'Ufro duerchkräizt.
D'Diagramme vun de Fournisseuren halen normalerweis um verschlësselte Listener op, well dat den Deel mat enger ëffentlecher Adress ass. D'Fro, déi d'Sécherheetspositioun decidéiert, ass wat no der Entschlësselung geschitt, wann de Paket gewéinlech IP gëtt an alles ka erreechen, wat d'Routingtabelle erlaabt. Wann een dee Been net gezeechent huet, huet et keen Eegentemer. De Runbook hei drënner zeechent en d'éischt an vergläicht duerno d'Plazéierungen no deem, wat d'entschlësselt Ufro tatsächlech duerchkräizt.
Zeechent de Paket no der Entschlësselung, net virdrun
Den ausseren Wee ass den Deel, deen d'Fournisseuren dokumentéieren: en ëffentlechen Endpunkt, eng Transportpolitik, déi d'Verbindung erlaabt, an e Service, deen se terminéiert. Den inneren Wee fänkt an dem Moment un, wou de Paket säin Tunnelkapp verléiert, an duerno gëtt et vu Routing- a Filterregelen regéiert, déi näischt mam Tunnel ze dinn hunn. Setzt béides op déi selwecht Säit, well en Diagramm mat nëmmen dem éischten implizéiert, datt Zoulossung an Autorisatioun eng Decisioun sinn. Si sinn et net, an de Spalt tëschent hinne ass dee Punkt, wou déi meescht Plazéierungen falsch sinn.
Schreift den inneren Been als nummeréiert Sequenz mat genannte Gerätsformen an net als Feil. Eng Feil verstoppt, ob d'Ufro e Filter duerchkräizt, an duerchkräizen oder net ass déi ganz Fro. All Schrëtt hei drënner nennt d'Gerät an de Reegelset, deen do wierkt, sou datt e fehlende Filter als Lach erschéngt an net duerch eng Linn implizéiert gëtt.
- Fernclient: d'Benotzergerät, dat den Tunnel opbaut.
- Randpolitik: de Reegelset, deen den äusseren Transport zum ëffentleche Listener erlaabt.
- Terminéierend Appliance: den VPN-Endpunkt, deen decapsuléiert an de Paket un gewéinlech IP iwwergëtt.
- Innere Filter: de Reegelset fir Weiderleitung oder Sécherheetsgruppen, deen den Traffic vum Client zum Service begrenzt.
- Applikatiounshost: de Service, deen d'entschlësselt Ufro kritt.
Zwou Politiken, zwee Besëtzer
Déi äusser Politik äntwert drop, wien en Tunnel opbauen däerf, an se dréckt sech an de Regele aus, déi den Transport zum terminéierende Service erlaben. Déi inner Politik äntwert drop, wéi ee Service en authentifizéierte Benotzer erreeche kann, an se lieft an de Weiderleitungsregelen, de Sécherheetsgruppen oder an der Applikatioun selwer. Een eenzegt Gerät ka béides hosten, an e Konzept mat méi Geräter huet ëmmer nach béides. Eréischt hir getrennt Benennung erlaabt Iech ze soen, wéi eng versot huet, wann e Benotzer eng Applikatioun net erreecht.
Zoulossungskontrollen wéi Zertifikater a Multifaktor-Authentifikatioun äntwerten op Identitéit an op näischt anescht. Si decidéieren net iwwer d'Plazéierung an a ginn dem Benotzer keng Erlaabnes pro Ressource, nodeem en bannen ass.
D'Plazéierung decidéiert, wéi eng Grenz d'Ufro duerchkräizt
Dräi Plazéierungen sinn heefeg, an all eenzeg ännert, wéi eng Grenz déi entschlësselt Ufro duerchkräizt. Vergläicht se no deem, wat do terminéiert, wat Klortext gesinn, wéi eng Kontroll d'Ufro nach ka refuséieren a wat mam Gerät zesumme versot. Den Table hei drënner benotzt déi véier Kolonnen amplaz enger allgemenger Fro, well all Äntwert eng eege Konzeptentscheedung ass.
| Placement | What terminates there | What sees plaintext | Which control can still deny | Failure domain |
|---|---|---|---|---|
| Termination in a dedicated segment | A dedicated VPN endpoint | The endpoint and anything on its segment | The filter between that segment and the application | The segment path can bypass the filter if no rule sits on it |
| Termination on the edge firewall | The firewall's public listener | The firewall, after decapsulation | The firewall's inner rule set | Admission and inspection fail together |
| Termination on the protected LAN | The appliance's LAN leg | Every host on the protected LAN | Only a host control or a downstream gateway | The appliance and the protected hosts fail together |
Déi drëtt Plazéierung ass déi, déi d'Ëmsetzung roueg ewechhëlt, well e Been um geschützte Segment dem Gerät en direkte Wee gëtt, deen den Diagramm vläicht net weist. Iwwerpréift d'Interfacen an d'Routen an net d'Bild: ip route get 10.20.5.10 mëttelt, iwwer wéi en Interface de Paket géif erausgoen, an d'Äntwert ass dacks net déi, déi de Konzept ugeholl huet. Déi klassesch Roll vun der Firewall, den Traffic tëschent Positiounen ze kontrolléieren, wéi beschriwwen anNIST SP 800-41, ass hei eng nëtzlech Prüfung, well en Apparat mat engem onbeschränkte Been an d'geschützt Netzwierk net vill kontrolléiert. Eng Routënsich ass en éierlechen Diagramm wéi dee vun der Presentatioun.
D'Administratioun gehéiert op hire eigenen ausdrëcklech erlaabte Wee. De Benotzer ze erlaben, eng Applikatioun ze erreechen, erfuerdert ni, hinnen ze erlaben, d'Kontrollinterface vum Gerät ze erreechen, an déi zwou Erlaabnesse solle vun ënnerschiddleche Reegele ginn. Auditéiert déi zwee Weeër getrennt, well eng gedeelt Regel verstoppt, wéi eng opgemaach gouf.
D'Iwwersetzung ännert, wat d'Reegele méi ënne kënne gesinn
D'Iwwersetzung vun der Quell ass bequem an se zerstéiert Informatioun. Nom Masquerade gesäit all Client aus wéi d'Appliance, sou datt eng Regel méi ënnen, déi geschriwwe gouf fir Benotzer z'ënnerscheeden, dat net méi kann. Dat ass net nëmmen e Logproblem, et ass e Politikproblem: eng Regel, déi op d'Clientadress geschlësselt ass, gëtt roueg eng Regel, déi op de Gateway geschlësselt ass. Wann d'Politik pro Benotzer wichteg ass, behält d'Quell oder setzt d'Politik virun der Iwwersetzung duerch.
De Retourwee verdéngt déiselwecht Iwwerpréifung. Notéiert, wéi eng Route d'Destinatioun fir de Retourpaket wielt, well en asymmetreschen Retour d'Stateful-Inspektioun ëmgeet an eng Verbindung erstellt, déi sech opbaut an duerno stockt. Béid Richtunge mussen déi Grenz iwweräeren, déi Dir gezeechent hutt, soss ass d'Grenz Dekoratioun.
sudo tcpdump -ni inside0 host 10.20.5.10
ip route get 10.20.5.10
sudo iptables -t nat -S POSTROUTINGAkzeptéiert eng erlaabten an eng refuséiert Operatioun
Test vum richtege Fernclient an net vun engem Verwaltungshost, well de Verwaltungshost meeschtens do sëtzt, wou de Benotzer ni wäert sinn. Eng erlaabten Operatioun beweist, datt de Wee funktionéiert, an eng refuséiert beweist, datt d'Politik iwwerhaapt eppes mécht. Féiert béides no all Ännerung vun der Plazéierung aus, a notéiert d'Quellidentitéit an d'Destinatioun, déi Dir benotzt hutt. En Test, deen nëmmen Erfolleg beweist, kann eng korrekt Regel net vun enger fehlender ënnerscheeden.
Test duerno d'Fäll, déi den Zoustand änneren: eng Reconnectioun, eng Sitzung, déi eng Schlësselrotatioun iwwerlieft, an e Feeler vum Apparat selwer. Vergläicht Aktualiséierungen, Kapazitéit a Widderhierstellung als Deel vum selwechte Layout, well eng Appliance mat méi logesche Kontrollen eng eenzeg Feelerdomän mat méi Etiketten ass. Eng zweet Këscht ass och net onofhängeg, wann eng gedeelt administrativ Umeldung oder eng onbeschränkt Route d'Grenz iwwerwënnt, déi se sollt schafen.
Dokumentéiert den Endpunkt, den entschlësselte Wee an d'Kontroll, déi en aschränkt. Déi dräi Zeile bleiwen bedeitend, wéi d'Implementatioun och heescht.