Pēc atšifrēšanas: kura politika pirmā redz jūsu VPN datplūsmu

VPN plūsma var būt pilnīgi šifrēta un pilnīgi autentificēta un tomēr nonākt tur, kur neviens nebija plānojis. Kabelis, ko pievienojat, nenosaka, kurš noteikums apstrādā iekšējo paketi; to dara politikas āķis un maršruts. Tāpēc divi dizaini, kas rack shēmā izskatās vienādi, var tikt īstenoti pilnīgi atšķirīgi. Izvēle starp tiem sākas ar tās kontroles nosaukšanu, kas pirmā redz atšifrēto plūsmu.

Izlemiet pēc politikas āķa, nevis porta

Katra VPN platforma novērtē atšifrēto datplūsmu kādā punktā pirms tās pārsūtīšanas, un šim punktam konfigurācijā ir nosaukums. Vienā platformā tas ir grupas politikas filtrs, citā – saskarnes politika vai zonu pāris, bet maršrutētājā tas var būt vienkārši forward ķēde. Āķis izpilda noteikumu, bet komutatora ports ir tikai vieta, kur kabelis beidzas. Āķa atrašana ir pirmais lēmums, jo viss pārējais ir izvietojums attiecībā pret to.

Pirms skatāties uz aparatūru, pierakstiet plūsmu: kas ir avots, kurp tā iet, kurš protokols to nes un kurš pakalpojums ir atļauts. Pēc tam atrodiet kontroli, kas izpilda katru no šiem četriem faktiem.

Divi ceļi, divi atšķirīgi izpildes stāsti

Divas formas ir izplatītas, un katra var būt pareiza citai prasībai.

endpoint -> shared inside subnet -> server
endpoint -> dedicated transit -> policy firewall -> server subnet

Pirmā forma var izpildīt visu nepieciešamo pie vārtejas, ja vārtejas politika ir rakstīta šim mērķim un serverim nav apļa ceļa. Otrā forma pievieno robežu, bet tikai tad, ja maršruti un politika patiešām liek datplūsmai iet tai cauri. Serverim tajā pašā segmentā kā galapunktam var nekad nesekot iedomātajam starplēcienam. Shēma parāda nodomu, bet maršrutu tabula parāda, kas notiek.

Pārbaudiet ar maršruta meklēšanu, nevis ar zīmējumu. Saskarne, pa kuru pakete iziet, un izvēlētais nākamais lēciens nosaka, vai otrā forma darbojas kā projektēta.

ip route get 10.30.7.20
sudo iptables -S FORWARD
sudo tcpdump -ni inside0 host 10.30.7.20

Atdaliet topoloģiju no izolācijas

Apakštīkla koplietošana nepadara vietu neuzticamu, un īpašs tranzīts nepadara to aizsargātu. Izšķir faktiski piemērotais ierobežojums, faktiski notiekošā pārsūtīšana un tas, kas pārvalda katru daļu. Komutatoru skaitīšana neko nepasaka par nevienu no trim. Izlemiet no politikas un maršruta, un lai topoloģija seko lēmumam.

Traktējiet arī datplūsmas populācijas atsevišķi. Attālinātās piekļuves pūli, vietnes-uz-vietni prefiksi un privāto līniju tīkli var koplietot vienu ierīci un tomēr prasīt atšķirīgus noteikumus, jo to identitāte un risks atšķiras. Vienai populācijai rakstīts noteikums klusi aptver pārējās, kad tās koplieto adrešu plānu.

Pārbaudiet kļūmi un pārvaldību katram izvietojumam

Katram izvietojumam ir kļūmes režīms, un noderīgais jautājums ir, kas vēl darbojas, kad komponents apstājas. Vairākas loģiskās saskarnes vienā mirušā ierīcē nedod neatkarīgu atjaunošanu, un lejupējais ugunsmūris, kas dala to pašu barošanu vai to pašu administratoru, nav otra robeža. Jautājiet, kur iet pārvaldības ceļš, jo konsole, kas pieejama tikai pa tuneli, nemaz nav atjaunošanas ceļš; ssh [email protected] true ārpus tuneļa ir lētākais veids, kā pierādīt, ka konsole no tā nav atkarīga. Vienas platformas grupas politikas dokumentācija liek filtru uz datplūsmu pēc atšifrēšanas un pirms šifrēšanas, un tas ir tieši tāds nosaukts āķis, kas jāmeklē jebkurā produktā.

Rakstiet katra kandidāta kļūmes stāstu blakus izpildes stāstam. Izvietojums, kas uzvar pārbaudē un zaudē atjaunošanā, ir maiņa, un tas jāpieraksta kā tāds, nevis jāatklāj incidenta laikā.

Pieņemiet ar atļautu un aizliegtu plūsmu

Ar apstiprinātu testa plānu pārbaudiet trīs lietas no īstā VPN avota: lietojumprogrammu, kurai jādarbojas, resursu, kuram nevajadzētu, un virzienu, no kura atgriežas atbilde. Atteikums ir pierādījums, ka politika ir iesaistīta, bet atļautā plūsma tikai pierāda, ka ceļš pastāv.

Saglabājiet izvēlēto ceļu un politikas rezultātu kopā, jo rezultāts bez ceļa nav atkārtojams, bet ceļš bez rezultāta nav aizstāvams. Šis pāris ir daudz noderīgāks pieslēguma punkta izvēlei nekā jebkurš apgalvojums par to, kurš komutācijas slānis ir būtiski drošāks.