По дешифрирањето: која политика прва го гледа вашиот VPN сообраќај

VPN текот може да биде совршено шифриран и совршено автентициран и сепак да заврши каде никој не планирал. Кабелот што го вклучувате не одредува која регулатива го обработува внатрешниот пакет; тоа го прават куката на политиката и маршрутата. Затоа два дизајна што изгледаат исто на шема на рек можат да имаат сосема различно спроведување. Изборот меѓу нив почнува со именување на контролата што го гледа дешифрираниот тек прва.

Одлучувајте по куката на политиката, не по портата

Секоја VPN платформа го оценува дешифрираниот сообраќај во некоја точка пред да го препрати, и таа точка има име во конфигурацијата. На една платформа тоа е филтер на групна политика, на друга политика на интерфејс или пар зони, а на уред што рутира може да биде само forward синџирот. Куката ја спроведува регулативата, додека портата на комутаторот е само местото каде што завршува кабелот. Наоѓањето на куката е првата одлука, бидејќи сè друго е поставеност во однос на неа.

Пред да гледате хардвер, запишете го текот: кој е изворот, каде оди, кој протокол го носи и која услуга е дозволена. Потоа најдете ја контролата што го спроведува секој од тие четири факти.

Два пата, две различни приказни за спроведување

Две форми се вообичаени и секоја може да биде точна за различно барање.

endpoint -> shared inside subnet -> server
endpoint -> dedicated transit -> policy firewall -> server subnet

Првата форма може да го спроведе сето потребно на порталот, под услов политиката да е напишана за таа дестинација и серверот да нема пат околу неа. Втората форма додава граница, но само ако маршрутите и политиката навистина го тераат сообраќајот да помине низ неа. Сервер на истиот сегмент како крајната точка може никогаш да не го следи замислениот меѓускок. Шемата ја покажува намерата, а табелата со маршрути го покажува она што се случува.

Проверувајте со пребарување на маршрута, а не со цртежот. Интерфејсот низ кој излегува пакетот и следниот скок што го избира одлучуваат дали втората форма работи како што е проектирана.

ip route get 10.30.7.20
sudo iptables -S FORWARD
sudo tcpdump -ni inside0 host 10.30.7.20

Одвојте топологијата од изолацијата

Заедничката подмрежа не прави местото недоверливо, а посветениот транзит не го прави заштитено. Одлучува ограничувањето што навистина се применува, препраќањето што навистина се случува и тоа кој управува со секој дел. Броењето комутатори не кажува ништо за ниту едно од трите. Одлучете од политиката и маршрутата, а топологијата нека ја следи одлуката.

Третирајте ги и популациите на сообраќај одделно. Базените за далечински пристап, префиксите локација-до-локација и мрежите на изнајмени линии можат да делат еден уред и сепак да бараат различни правила, бидејќи нивниот идентитет и ризик се разликуваат. Правило напишано за една популација тивко ги покрива другите кога делат адресен план.

Проверете отказ и управување за секоја поставеност

Секоја поставеност има режим на отказ, а корисното прашање е што сè уште работи кога компонентата запира. Неколку логички интерфејси на еден мртов уред не даваат независно обновување, а долниот огнен ѕид што дели исто напојување или ист администратор не е втора граница. Прашајте каде оди патот за управување, бидејќи конзола достапна само преку тунелот воопшто не е пат за обновување; ssh [email protected] true од надвор од тунелот е најевтиниот начин да докажете дека конзолата не зависи од него. Документацијата за групна политика на една платформа го става својот филтер на сообраќај по дешифрирањето и пред шифрирањето, што е точно таков именуван кука што треба да се бара во секој производ.

Напишете ја приказната за отказ на секој кандидат до приказната за спроведување. Поставеност што победува на преглед и губи при обновување е замена и треба да се запише како таква, наместо да се открие за време на инцидент.

Прифатете со дозволен и со забранет тек

Со одобрен тест план проверете три работи од вистинскиот VPN извор: апликација што треба да работи, ресурс што не треба, и насоката од која се враќа одговорот. Одбивањето е доказ дека политиката е вклучена, додека дозволениот тек докажува само дека постои пат.

Чувајте ја избраната маршрута и резултатот на политиката заедно, бидејќи резултат без маршрута не може да се повтори, а маршрута без резултат не може да се одбрани. Тој пар е многу покорисен за избор на точка на поврзување отколку било какво тврдење за тоа кој слој на комутација е сам по себе побезбеден.