Dodiet VPN lietotājiem piekļuvi vienam pakalpojumam, nevis apakštīklam

Darbuzņēmējam vajag vienu iekšēju tīmekļa lietotni un neko citu, un vienkāršā atbilde ir dot viņam tuneli uz servera apakštīklu. Tas darbojas līdz dienai, kad viņš to skenē. Šaurāks dizains prasa vairāk domāšanas, jo sasniedzamība, maršrutēšana un lietotnes atļauja ir trīs atsevišķas kontroles, kurām jāsaskan.

Uzrakstiet prasību kā pakalpojumu, nevis apakštīklu

Sāciet ar mērķa resursdatoru, protokolu un portu, pēc tam pievienojiet lietotāju vai ierīču grupu, kurai tas jāsasniedz. Privāto DNS zonu iekļaujiet tikai tad, ja lietotne atrisina vārdu, un identitātes nodrošinātāju tikai tad, ja pieteikšanās plūsmai tas nepieciešams. Viss pārējais ir atkarība, kuru vēl neesat pamatojis.

Apakštīkls ir tīkla komandas ieviešanas detaļa, savukārt pakalpojums ir tas, ko pieprasīja bizness, un vienība, ko var pārskatīt un izbeigt.

Ja atkarību saraksts pārsniedz trīs vienumus, lietotnei, iespējams, vajag savu dizaina sarunu.

Maršrutējiet šauri, bet izpildiet citur

Šaurs maršruts vai selektors pasaka tunelim, kurus paketes nest; tā nav autorizācijas politika. Vārtejas filtrs, mērķa resursdatora ugunsmūris un pašas lietotnes atļauju modelis ir vietas, kur tiek izlemta piekļuve. Maršruts, kas aptver vienu adresi, ir labs sākums, un tas nav kontrole, kas aptur apņēmīgu lietotāju. Tieši šī atdalīšana ļauj mainīt filtru, nepārprojektējot tuneli.

Pretēji, plats maršruts ar stingru filtru var būt likumīgs, bet tikai tad, ja visi iesaistītie zina, kurš no tiem veic izpildi.

Skaidri dokumentējiet izpildes punktu, citādi nākamā izmaiņa to nejauši pārvietos.

Pārbaudiet avotu, ko pakalpojums patiešām redz

Mērķis redz vai nu klienta baseina adresi, vai vārtejas adresi, atkarībā no tā, vai jūs tulkojat. Resursdatora ugunsmūra noteikumiem un žurnāliem jāatbilst reālajam avotam. Ja vairāki lietotāji dala tulkotu avotu, neviens noteikums vienam lietotājam šajā resursdatorā nevar tos atšķirt, un tas ir dizaina ierobežojums, nevis kļūda.

Izvēlieties tulkošanu apzināti: tā vienkāršo maršrutēšanu un iznīcina avota identitāti, kas ir svarīgi auditam un noteikumiem vienam lietotājam.

Pierakstiet, kuru no diviem izvēlējāties, blakus noteikumam, kas no tā atkarīgs.

Lietotnes autorizācija nav izvēles iespēja

Sasniegt portu nedod lomu. Lietotnei joprojām vajag savu pieteikšanos un savas atļaujas, jo tīkla slānis nevar izteikt, kurus ierakstus lietotājs drīkst rediģēt. Pakalpojums, kas uzticas jebkuram pieprasījumam no iekšējā apakštīkla, pārvērš šauru tuneli pilnā piekļuvē vienam kompromitētam akreditācijas datu kopumam. Tunelis izlemj, kas drīkst atvērt ligzdu, un lietotne izlemj, ko ar to drīkst darīt.

Šeit šaurs dizains atmaksājas divreiz, jo mazāk sasniedzamu resursdatoru nozīmē mazāk vietu, kur lietotnes līmeņa kļūdu var izmantot.

Turiet tīkla noteikumu un lietotnes lomu atsevišķās sistēmās un izbeidziet tās atsevišķi.

Pierādiet gan atļauto, gan noraidīto ceļu

Piesakieties kā autorizēts lietotājs un veiciet vienu nekaitīgu reprezentatīvu darbību, pēc tam izmēģiniet galamērķi, kuram jābūt nesasniedzamam. Dizains, kas pārbauda tikai pirmo pusi, nav pārbaudīts, un tieši noraidīšanas tests pierāda dizainu. Pēc katras noteikuma izmaiņas pārbaudiet jaunu sesiju, un, ja pieprasījumi ierodas, bet atbildes ne, apskatiet atgriešanās ceļu.

Neizslēdziet pārsūtīšanas filtrus, lai pieņemšanas tests izietu, jo tas maina to, kas tiek testēts.

Kad lietotājam pakalpojums vairs nav vajadzīgs, izbeidziet attālo identitāti un lietotnes lomu viņu attiecīgajās sistēmās un reģistrējiet abus. strongSwan pārsūtīšanas rokasgrāmata aptver ceļa vārtejas pusi.