Wéi een den Zougang tëscht zwee VPN-verbonnene Büroen aschränkt

En Tunnel tëscht Standplazen äntwert op eng Fro, ob déi zwee Büroen Päckchen austausche kënnen, an léisst déi wichteg op: wéi eng Filialapparatur wéi en zentrale Déngscht erreeche kann. Den Tunnel als géigesäiteg Vertrauen ze behandelen ass de Wee, wéi eng Gaascht-Laptop op dee selwechte Wee wéi de Finanzserver kënnt. D'Léisung ass keen aneren Tunnel, mä eng ausdrécklech Erlaabnislëscht, déi no der Entschlësselung forcéiert gëtt. Dëse Guide féiert déi Lëscht vun der Definitioun bis zu enger bewisener Oflehnung.

Schafft an dëser Rei a vergréissert den Tunnelwee net, bis déi ënnescht Politikschrëtt duerchginn.

Schreift d'Matrix, ier dir de Gateway ufässt

Eng nëtzlech Zeil nennt dräi Saachen: eng Quellgrupp, en Zilhost oder en Déngschtnetz, an de Protokoll an de Port, déi d'Applikatioun tatsächlech benotzt. D'Filial an den Datecenter sinn keng Entréen. Privat DNS an Authentifikatiounsdéngschter verdéngen hir eege Zeilen nëmmen dann, wann d'Applikatioun ouni si net funktionéiere kann.

Gruppéiert Quellen no Roll an net no Subnetzbequemlechkeet: Personal, Gäscht, Administratioun. Wa braut alleguer een flaache LAN deelen, kann de Gateway se op der Netzwierkschicht net ënnerscheeden, dofir mussen Identitéitskontrollen oder Segmentéierung als éischt kommen. Duerno setzt d'Matrix schrëftlech op, mat engem Besëtzer an engem Iwwerpréiwungsdatum op all Zeil.

Forcéiert et do, wou d'Päckchen entschlësselt ginn

D'Reegelen, déi IKE an ESP erlaben, bauen nëmmen den äusseren Tunnel. Innere Verkéier kënnt op enger kloerer Linn op d'Tunnelschnëttstell, an do gehéiert d'Erlaabnislëscht hin: eng Weiderleitungskette op dem entschlësselenden Apparat, Standarddrop, eng Reegel pro Matrixzeil. Op Linux-Gateways heescht dat Weiderleitung aktivéiert a Filterreegelen op dem Tunnelapparat, net op der physescher Verbindung, wéi strongSwan säi Weiderleitungsguide et erkläert.

Verkehrsselektore sinn eng Routingentscheedung, keng Autorisatiounsentscheedung. En breede Selekter, deen déi zwou Subnetzen deckt, ka fir d'Routing richteg sinn, während d'Firewall nach ëmmer nëmme TCP 443 op een Host erlaabt. De Selekter gëtt fir den Tunnel verhandelt a beschreift, wat erakomm kann, net wat en eenzelen Apparat benotze kann. Vergréissert ni eng Firewallreegel, well de Selekter breed ass.

iptables -A FORWARD -i tun0 -s 10.20.0.0/24 -d 10.10.5.10 -p tcp --dport 443 -j ACCEPT
iptables -A FORWARD -i tun0 -j DROP

NAT a sech iwwerlappend Subnetze veränneren d'Reegelen

Wa de Filial-Gateway all Host virum Tunnel op eng eenzeg Adress iwwersetzt, fält all quellbaséiert Zeil an déi eng Adress zesummen. Entweder hält op, den Tunneltrafic ze iwwersetzen, oder akzeptéiert, datt d'Reegelen op eppes anescht musse berouwen, wéi d'originär Quelladress, déi virun der Iwwersetzung opgeholl gouf. Déi wäit Säit huet dee selwechte Problem, well den Zilhost d'Adress nom NAT gesäit an net déi originär.

Iwwerlappend Beräicher sinn déi aner Fal. Zwee Büroen, déi allebéid 192.168.1.0/24 benotzen, kënnen net an enger Politiktabell beschriwwe ginn, ouni eng Säit ze mappen, an eng Mappung ersetzt keng Adresséierung, déi net kollidéiert. Korrigéiert de Plang, ier dir Reegelen schreift, déi dir spéider musst opmaachen.

Beweist eng Oflehnung, net nëmmen en Erfolleg

Nëmmen déi erlaabten Applikatioun ze testen beweist ganz wéineg, well eng generéis Reegel iergendwou uewen datselwecht Resultat bréngt.

Vun engem gewéinleche Filialapparat erreecht den ugedachte Déngscht a bestätegt, datt déi ganz Sitzung funktionéiert. Da probéiert en Zil, dat misst zou bleiwen, wéi en administrativen Port op engem Server, mat deem d'Filial näischt ze dinn huet, a liest de Compteur oder de Logandrag, deen en verworf huet. D'Reegelset auszeschalten, fir ze kucken, ob et funktionéiert, mécht den Test ongëlteg a léisst de Gateway op, während dir kuckt.

Hält d'Lëscht lieweg

Applikatioune beweegen sech, an eng Reegel, déi hir Applikatioun iwwerlieft, gëtt en Lach, dat kee besëtzt. Verbënnt den Iwwerpréiwungsdatum mat der Zeil, a ännert de Selekterëmfang an d'Firewallreegel am selwechte Maintenance-Schrëtt, wann en Déngscht d'Adress wiesselt.

Restriktioune op Hostniveau zielen nach ëmmer hannert dem Tunnel: dem Server seng eege Firewall sollt de Filialberäich nëmme fir den Déngscht unhuelen, deen en verëffentlecht. Zwou Schichten, déi iwwerenee stëmmen, si méi einfach ze auditieren wéi eng eenzeg Schicht, där een komplett vertraut.