Kā ierobežot piekļuvi starp diviem ar VPN savienotiem birojiem
Tunelis starp vietām nav savstarpēja uzticēšanās. Izveidojiet avota, galamērķa un pakalpojuma matricu, piemērojiet to atšifrētai plūsmai un pierādiet arī atteikumu.
Tunelis starp vietām atbild uz vienu jautājumu, vai divi biroji var apmainīties ar paketēm, un atstāj atvērtu svarīgo: kura filiāles ierīce var sasniegt kuru centrālo pakalpojumu. Tuneli uzskatīt par savstarpēju uzticēšanos ir ceļš, pa kuru viesa klēpjdators nonāk tajā pašā maršrutā kā finanšu serveris. Risinājums nav labāks tunelis, bet gan skaidrs atļauju saraksts, kas tiek piemērots pēc atšifrēšanas. Šī rokasgrāmata vada šo sarakstu no definīcijas līdz pierādītam atteikumam.
Strādājiet šajā secībā un nepaplašiniet tuneļa maršrutu, kamēr nav izpildīti zemāk minētie politikas soļi.
Uzrakstiet matricu, pirms aiztiecat vārteju
Noderīga rinda nosauc trīs lietas: avota grupu, galamērķa resursdatoru vai pakalpojuma tīklu, un protokolu un portu, ko lietojumprogramma faktiski izmanto. Filiāle un datu centrs nav ieraksti. Privātais DNS un autentifikācijas pakalpojumi savas rindas pelna tikai tad, ja lietojumprogramma bez tiem nevar darboties.
Grupējiet avotus pēc lomas, nevis pēc apakštīkla ērtības: darbinieki, viesi, administrācija. Kad visi trīs dala vienu plakanu LAN, vārteja tos nevar atšķirt tīkla līmenī, tāpēc identitātes kontrolei vai segmentācijai jānāk vispirms. Pēc tam pierakstiet matricu, katrā rindā norādot īpašnieku un pārskatīšanas datumu.
| Avots | Galamērķis | Pakalpojums | Lēmums |
|---|---|---|---|
| filiāles darbinieki | rezervācijas lietotne 10.10.5.10 | TCP 443 | atļaut atšifrējošajā vārtejā |
| filiāles darbinieki | serveru administrēšanas VLAN | jebkurš | netiešs atteikums |
| viesu Wi-Fi | jebkurš centrālais diapazons | jebkurš | atteikt pirms tuneļa |
| administratīvais lēciena resursdators | serveru VLAN | TCP 22 un 3389 | atļaut ar MFA, resursdatora ugunsmūris vēl vairāk sašaurina |
Piemērojiet tur, kur paketes tiek atšifrētas
Noteikumi, kas atļauj IKE un ESP, būvē tikai ārējo tuneli. Iekšējā plūsma ierodas atklāti uz tuneļa saskarnes, un tieši tur ir atļauju saraksta vieta: pārsūtīšanas ķēde atšifrējošajā ierīcē, noklusējuma nomešana, viens noteikums katrai matricas rindai. Linux vārtejās tas nozīmē iespējotu pārsūtīšanu un filtra noteikumus tuneļa ierīcē, nevis fiziskajā savienojumā, kā skaidro strongSwan pārsūtīšanas rokasgrāmata.
Plūsmas selektori ir maršrutēšanas lēmums, nevis autorizācijas lēmums. Plašs selektors, kas aptver abus apakštīklus, var būt pareizs maršrutēšanai, kamēr ugunsmūris joprojām atļauj tikai TCP 443 uz vienu resursdatoru. Selektors tiek saskaņots tunelim un apraksta, kas tajā var iekļūt, nevis ko var izmantot konkrēta ierīce. Nekad nepaplašiniet ugunsmūra noteikumu tāpēc, ka selektors ir plašs.
iptables -A FORWARD -i tun0 -s 10.20.0.0/24 -d 10.10.5.10 -p tcp --dport 443 -j ACCEPT
iptables -A FORWARD -i tun0 -j DROPNAT un pārklājošies apakštīkli maina noteikumus
Kad filiāles vārteja pirms tuneļa pārtulko katru resursdatoru vienā adresē, katra uz avotu balstītā rinda sabrūk šajā vienā adresē. Vai nu pārtrauciet tuneļa plūsmas tulkošanu, vai pieņemiet, ka noteikumiem jābalstās uz ko citu, piemēram, sākotnējo avota adresi, kas reģistrēta pirms tulkošanas. Tālajam galam ir tā pati problēma, jo galamērķa resursdators redz adresi pēc NAT, nevis sākotnējo.
Pārklājošies diapazoni ir otrs slazds. Divus birojus, kas abi izmanto 192.168.1.0/24, nevar aprakstīt vienā politikas tabulā, ne kartējot vienu pusi, un kartēšana neaizstāj adresāciju, kas nesaduras. Izlabojiet plānu, pirms rakstāt noteikumus, kas vēlāk būs jāatšķetina.
Pierādiet atteikumu, ne tikai panākumus
Tikai atļautās lietojumprogrammas testēšana pierāda ļoti maz, jo atļaujošs noteikums kaut kur augstāk dod tādu pašu rezultātu.
No parastas filiāles ierīces sasniedziet paredzēto pakalpojumu un apstipriniet, ka visa sesija darbojas. Pēc tam izmēģiniet galamērķi, kam jāpaliek slēgtam, piemēram, administratīvo portu serverī, ar ko filiālei nav nekādu darīšanu, un nolasiet skaitītāju vai žurnāla ierakstu, kas to nometa. Noteikumu kopas izslēgšana, lai pārbaudītu, vai tā darbojas, padara testu nederīgu un atstāj vārteju atvērtu, kamēr skatāties.
Turiet sarakstu dzīvu
Lietojumprogrammas pārvietojas, un noteikums, kas pārdzīvo savu lietojumprogrammu, kļūst par caurumu, kam nav īpašnieka. Piesaistiet pārskatīšanas datumu rindai un, kad pakalpojums maina adresi, tajā pašā apkopes solī mainiet selektora apjomu un ugunsmūra noteikumu.
Resursdatora līmeņa ierobežojumi joprojām ir svarīgi aiz tuneļa: paša servera ugunsmūrim filiāles diapazons jāpieņem tikai tam pakalpojumam, ko tas publicē. Divi saskaņoti slāņi ir vieglāk auditējami nekā viens slānis, kuram pilnībā uzticas.