Nubrėžkite iššifruotą kelią: kur VPN įrenginys taiko politiką
Diagrama, kuri sustoja ties šifruotu klausytuvu, neparodo politikos, kuri svarbi. Nubrėžkite iššifruotą kelią, tada palyginkite vietas pagal tai, ką užklausa kerta.
Tiekėjų diagramos paprastai sustoja ties šifruotu klausytuvu, nes tai dalis, turinti viešą adresą. Saugumo poziciją lemiantis klausimas yra tai, kas vyksta po iššifravimo, kai paketas tampa įprastu IP ir gali pasiekti viską, ką leidžia maršrutų lentelė. Jei niekas tos atkarpos nenubrėžė, niekas jos ir nevaldo. Žemiau pateiktas vadovas pirmiausia ją nubrėžia, o paskui palygina vietas pagal tai, ką iššifruota užklausa iš tikrųjų kerta.
Brėžkite paketą po iššifravimo, o ne prieš
Išorinis kelias yra dalis, kurią dokumentuoja tiekėjai: viešas galinis taškas, transporto politika, kuri priima ryšį, ir paslauga, kuri jį užbaigia. Vidinis kelias prasideda tuo metu, kai paketas netenka tunelio antraštės, ir nuo ten jį valdo maršrutizavimo bei filtravimo taisyklės, neturinčios nieko bendra su tuneliu. Įdėkite abu į tą patį puslapį, nes diagrama tik su pirmuoju rodo, kad priėmimas ir autorizacija yra vienas sprendimas. Taip nėra, ir būtent tarpas tarp jų yra vieta, kur dauguma vietų suklysta.
Vidinę atkarpą rašykite kaip numeruotą seką su įvardintais įrenginių tipais, o ne kaip rodyklę. Rodyklė nuslepia, ar užklausa kerta filtrą, o kirsti ar nekirsti yra visas klausimas. Kiekvienas žingsnis žemiau įvardija įrenginį ir ten veikiančią taisyklių rinkinį, todėl trūkstamas filtras pasirodo kaip spraga, o ne kaip linijos užuomina.
- Nuotolinis klientas: naudotojo įrenginys, sukuriantis tunelį.
- Briaunos politika: taisyklių rinkinys, priimantis išorinį transportą į viešą klausytuvą.
- Užbaigiantis įrenginys: VPN galinis taškas, kuris dekapsuliuoja ir perduoda paketą įprastam IP.
- Vidinis filtras: perdavimo ar saugumo grupės taisyklių rinkinys, ribojantis srautą nuo kliento iki paslaugos.
- Programos hostas: paslauga, kuri priima iššifruotą užklausą.
Dvi politikos, du savininkai
Išorinė politika atsako, kas gali sukurti tunelį, ir ji išreiškiama taisyklėse, kurios priima transportą į užbaigiančią paslaugą. Vidinė politika atsako, kurią paslaugą autentifikuotas naudotojas gali pasiekti, ir ji gyvena perdavimo taisyklėse, saugumo grupėse ar pačioje programoje. Vienas įrenginys gali talpinti abi, o kelių įrenginių projektas vis tiek turi abi. Būtent atskiras jų įvardijimas leidžia pasakyti, kuri nepavyko, kai naudotojas nepasiekia programos.
Priėmimo kontrolės, tokios kaip sertifikatai ir daugiafaktoris autentifikavimas, atsako į tapatybę ir nieko daugiau. Jos nenulemia vietos ir nesuteikia leidimo pagal išteklių, kai naudotojas jau viduje.
Vieta nulemia, kurią ribą užklausa kerta
Trys vietos yra įprastos, ir kiekviena keičia, kurią ribą kerta iššifruota užklausa. Palyginkite jas pagal tai, kas ten užbaigiama, kas gali matyti atvirą tekstą, kuri kontrolė dar gali atmesti užklausą ir kas sugenda kartu su įrenginiu. Žemiau pateikta lentelė naudoja tuos keturis stulpelius vietoj bendro klausimo, nes kiekvienas atsakymas yra atskiras projektinis sprendimas.
| Placement | What terminates there | What sees plaintext | Which control can still deny | Failure domain |
|---|---|---|---|---|
| Termination in a dedicated segment | A dedicated VPN endpoint | The endpoint and anything on its segment | The filter between that segment and the application | The segment path can bypass the filter if no rule sits on it |
| Termination on the edge firewall | The firewall's public listener | The firewall, after decapsulation | The firewall's inner rule set | Admission and inspection fail together |
| Termination on the protected LAN | The appliance's LAN leg | Every host on the protected LAN | Only a host control or a downstream gateway | The appliance and the protected hosts fail together |
Trečioji vieta yra ta, kuri tyliai pašalina vykdymą, nes atkarpa apsaugotame segmente suteikia įrenginiui tiesioginį kelią, kurio diagrama gali ir nerodyti. Tikrinkite sąsajas ir maršrutus, o ne paveikslėlį: ip route get 10.20.5.10 praneša, per kurią sąsają paketas išeitų, ir atsakymas dažnai ne tas, kurį projektas numatė. Klasikinis ugniasienės vaidmuo kontroliuoti srautą tarp pozicijų, kaip aprašytaNIST SP 800-41, yra naudingas bandymas čia, nes įrenginys su neribota atkarpa į apsaugotą tinklą nelabai ką kontroliuoja. Maršruto paieška yra sąžiningesnė diagrama nei ta, kuri yra pristatyme.
Administravimas priklauso savo atskirai aiškiai leidžiamam keliui. Leisti naudotojams pasiekti programą niekada nereikalauja leisti jiems pasiekti įrenginio valdymo sąsają, ir abu leidimai turėtų būti suteikiami skirtingomis taisyklėmis. Tikrinkite abu kelius atskirai, nes bendra taisyklė nuslepia, kuris buvo atidarytas.
Vertimas keičia, ką gali matyti tolesnės taisyklės
Šaltinio vertimas yra patogus ir jis naikina informaciją. Po masquerade kiekvienas klientas atrodo kaip įrenginys, todėl tolesnė taisyklė, parašyta atskirti naudotojus, to nebegali. Tai ne tik žurnalų problema, tai politikos problema: taisyklė, susieta su kliento adresu, tyliai tampa taisykle, susieta su tinklų sietuvu. Jei politika pagal naudotoją svarbi, išsaugokite šaltinį arba taikykite politiką prieš vertimą.
Atsakymo kelias nusipelno to paties dėmesio. Užrašykite, kurį maršrutą paskirties vieta pasirenka grįžtančiam paketui, nes asimetriškas grįžimas apeina būsenos patikrą ir sukuria ryšį, kuris užsimezga ir paskui užstringa. Abi kryptys turi kirsti nubrėžtą ribą, kitaip riba yra dekoracija.
sudo tcpdump -ni inside0 host 10.20.5.10
ip route get 10.20.5.10
sudo iptables -t nat -S POSTROUTINGPriimkite leidžiamą ir atmestą operaciją
Bandykyte iš tikro nuotolinio kliento, o ne iš valdymo hosto, nes valdymo hostas paprastai stovi ten, kur naudotojas niekada nebus. Viena leidžiama operacija įrodo, kad kelias veikia, o viena atmesta įrodo, kad politika apskritai ką nors daro. Paleiskite abi po kiekvieno vietos pakeitimo ir užrašykite naudotą šaltinio tapatybę bei paskirties vietą. Bandymas, įrodantis tik sėkmę, negali atskirti teisingos taisyklės nuo trūkstamos.
Tada bandykite atvejus, kurie keičia būseną: prisijungimą iš naujo, sesiją, pergyvenančią raktų rotaciją, ir paties įrenginio gedimą. Palyginkite atnaujinimus, talpą ir atkūrimą kaip to paties išdėstymo dalį, nes vienas įrenginys, laikantis kelias logines kontroles, yra viena gedimų sritis su keliomis etiketėmis. Antra dėžė taip pat nėra nepriklausoma, kai bendri administravimo prisijungimo duomenys ar neribotas maršrutas nugali ribą, kurią ji turėjo sukurti.
Dokumentuokite galinį tašką, iššifruotą kelią ir jį ribojančią kontrolę. Tos trys eilutės išlieka prasmingos, kad ir kaip būtų vadinama realizacija.