Gitt VPN-Benutzer Zougang zu engem Service, net zum Subnet

En Handwierker brauch eng intern Webapplikatioun an näischt anescht, an déi einfach Äntwert ass, him en Tunnel an de Server-Subnet ze ginn. Dat funktionéiert bis zu deem Dag, wou hien et scannt. De méi schmuelen Design verlaangt méi Nodenken, well Erreechbarkeet, Routing an Applikatiounsberechtegung dräi getrennt Kontrollen sinn, déi sech musse averstoen.

Schreift d'Ufuerderung als Service, net als Subnet

Fänkt mam Zilhost, dem Protokoll an dem Port un, a füügt dann d'Benotzer- oder Gerätegrupp derbäi, déi sollt dohinner kommen. Huelt d'privat DNS-Zon nëmmen op, wann d'Applikatioun en Numm opléist, an en Identitéitsprovider nëmmen, wann den Umellfloss en brauch. Alles anescht ass eng Ofhängegkeet, déi Dir nach net begrënnt hutt.

E Subnet ass en Implementatiounsdetail vum Netzwierkteam, wärend e Service dat ass, wat d'Geschäft gefrot huet, an d'Eenheet, déi kann iwwerpréift a stillgeluecht ginn.

Wann d'Lëscht vun den Ofhängegkeeten iwwer dräi Elementer erausgeet, brauch d'Applikatioun wahrscheinlech eng eege Design-Diskussioun.

Route schmuel, awer setzt d'Duerchsetzung soss do duerch

Eng schmuel Route oder en Selektor seet dem Tunnel, wéi eng Paketen en droen soll; dat ass keng Autorisatiounspolitik. De Gateway-Filter, d'Firewall vum Zilhost an dem Applikatioun säin eegene Berechtegungsmodell sinn d'Plazen, wou den Zougang decidéiert gëtt. Eng Route, déi eng Adress deckt, ass en gudden Ufank, an et ass net d'Kontroll, déi en entschlossene Benotzer stoppt. Genee déi Trennung erlaabt et, de Filter z'änneren, ouni den Tunnel nei ze designen.

Ëmgekeehrt kann eng breet Route mat engem strenge Filter legitim sinn, awer nëmme wann all Bedeelegt wëssen, wéi eng vun deenen zwou d'Duerchsetzung mécht.

Dokumentéiert den Duerchsetzungspunkt explizit, soss verréckelt déi nächst Ännerung en duerch Zufall.

Préift d'Quell, déi de Service tatsächlech gesäit

D'Zil gesäit entweder d'Pooladress vum Client oder d'Adress vum Gateway, jee nodeem ob Dir iwwersetzt. D'Firewall-Regele vum Host an d'Loge mussen zur richteger Quell passen. Wann e puer Benotzer eng iwwersat Quell deelen, kann keng Regel pro Benotzer op deem Host se ënnerscheeden, an dat ass eng Design-Begrenzung, kee Fehler.

Wielt d'Iwwersetzung bewosst: se vereinfacht d'Routing an zerstéiert d'Identitéit vun der Quell, wat fir Audit a fir Regele pro Benotzer wichteg ass.

Schreift op, wéi eng vun den zwou Dir gewielt hutt, nieft der Regel, déi dovun ofhänkt.

D'Applikatiounsautorisatioun ass net fakultativ

En Port z'erreechen gëtt keng Roll. D'Applikatioun brauch nach ëmmer hire eegene Login an hir eege Berechtegungen, well d'Netzwierkschicht net kann ausdrécken, wéi eng Records e Benotzer däerf änneren. E Service, deen all Ufro aus dem interne Subnet vertraut, verwandelt en schmuelen Tunnel a vollt Zougang fir eng kompromittéiert Authentifikatioun. Den Tunnel entscheet, wien de Socket däerf opmaachen, an d'Applikatioun entscheet, wat een domat däerf maachen.

Hei bezuelt de schmuelen Design sech zweemol, well manner erreechbar Hosts bedeiten manner Plazen, wou e Feeler op Applikatiounsniveau ka mëssbraucht ginn.

Halt d'Netzwierkregel an d'Applikatiounsroll an getrennte Systemer, a setzt se getrennt ausser Betrib.

Beweist souwuel dee erlaabten wéi och dee verweigerte Wee

Verbind Iech als den autoriséierte Benotzer a maacht eng harmlos representativ Operatioun, a probéiert dann en Zil, dat onerreechbar sollt sinn. En Design, deen nëmmen déi éischt Halschent testet, ass net getest, an et ass de verweigerte Test, deen den Design beweist. Test eng nei Sessioun no all Regelännerung, a kuckt de Réckwee, wann Ufroen ukommen, awer Äntwerten net.

Deaktivéiert keng Weiderleetungsfilter, fir datt den Akzeptanztest duerchgeet, well dat d'Saach ännert, déi getest gëtt.

Wann de Benotzer de Service net méi brauch, setzt d'Remote-Identitéit an d'Applikatiounsroll an hire jeeweilege Systemer ausser Betrib, a registréiert béides. De strongSwan-Leitfued fir Weiderleedung deckt d'Gateway-Säit vum Wee of.