Нацртајте го дешифрираниот пат: каде VPN уредот применува политика

Дијаграмите на добавувачите обично застануваат кај шифрираниот слушател, бидејќи тоа е делот со јавна адреса. Прашањето што ја одредува безбедносната положба е што се случува по дешифрирањето, кога пакетот станува обичен IP и може да стигне до сè што дозволува табелата за рутирање. Ако никој не го нацртал тој дел, никој не го поседува. Упатството подолу прво го црта тоа, а потоа ги споредува поставеностите според тоа што дешифрираното барање навистина го преминува.

Нацртајте го пакетот по дешифрирањето, не пред него

Надворешниот пат е делот што добавувачите го документираат: јавна крајна точка, транспортна политика што го прифаќа поврзувањето и услуга што го завршува. Внатрешниот пат започнува во моментот кога пакетот го губи заглавјето на тунелот, и оттаму го водат правила за рутирање и филтрирање што немаат никаква врска со тунелот. Ставете ги двете на иста страница, бидејќи дијаграм само со првото навестува дека прифаќањето и авторизацијата се една одлука. Не се, и токму јазот меѓу нив е местото каде повеќето поставености грешат.

Внатрешниот дел напишете го како нумерирана низа со именувани типови уреди, а не како стрелка. Стрелката крие дали барањето преминува филтер, а преминувањето или не е целото прашање. Секој чекор подолу го именува уредот и множеството правила што дејствува таму, така што филтерот што недостасува се појавува како празнина, а не како нешто навестено со линија.

1. Далечински клиент: уредот на корисникот што го создава тунелот.
2. Рабна политика: множеството правила што го прифаќа надворешниот транспорт до јавниот слушател.
3. Завршен уред: VPN крајната точка што декапсулира и му го предава пакетот на обичниот IP.
4. Внатрешен филтер: множеството правила за препраќање или безбедносни групи што го ограничува сообраќајот од клиент до услуга.
5. Домаќин на апликацијата: услугата што го прима дешифрираното барање.

Две политики, два сопственици

Надворешната политика одговара кој смее да воспостави тунел и се изразува во правилата што го прифаќаат транспортот до завршната услуга. Внатрешната политика одговара до која услуга смее да стигне автентициран корисник и живее во правилата за препраќање, безбедносните групи или самата апликација. Еден уред може да ги вдоми двете, а проект со повеќе уреди сè уште ги има двете. Токму нивното одделно именување ви овозможува да кажете која откажала кога корисникот не стигнува до апликација.

Контролите за прифаќање како сертификати и повеќефакторска автентикација одговараат на идентитетот и на ништо друго. Тие не ја одредуваат поставеноста и не даваат дозвола по ресурс кога корисникот е внатре.

Поставеноста одредува која граница ја преминува барањето

Три поставености се вообичаени и секоја менува која граница ја преминува дешифрираното барање. Споредете ги според тоа што завршува таму, што може да види чист текст, која контрола сè уште може да го одбие барањето и што паѓа заедно со уредот. Табелата подолу ги користи тие четири колони наместо општо прашање, бидејќи секој одговор е посебна проектна одлука.

Третата поставеност е онаа што тивко го отстранува спроведувањето, бидејќи делот на заштитениот сегмент му дава на уредот директен пат што дијаграмот можеби не го покажува. Проверете ги интерфејсите и рутите, а не сликата: ip route get 10.20.5.10 известува низ кој интерфејс пакетот би излегол, а одговорот често не е тој што проектот го претпоставил. Класичната улога на огнениот ѕид да го контролира сообраќајот меѓу положбите, како што е опишано воNIST SP 800-41, е корисна проверка овде, бидејќи уред со неограничен дел кон заштитената мрежа не контролира многу. Пребарувањето на рута е почесен дијаграм од оној во презентацијата.

Администрацијата припаѓа на својот сопствен јасно дозволен пат. Дозволувањето корисниците да стигнат до апликација никогаш не бара да им се дозволи да стигнат до контролниот интерфејс на уредот, и двете дозволи треба да се дадат од различни правила. Проверете ги двата пата одделно, бидејќи заедничко правило го крие тоа кој е отворен.

Преводот менува што можат да видат понатамошните правила

Преводот на изворот е удобен и ја уништува информацијата. По masquerade секој клиент изгледа како уредот, па понатамошното правило напишано да ги разликува корисниците веќе не може тоа. Ова не е само проблем со евиденција, туку проблем со политика: правило врзано за адресата на клиентот тивко станува правило врзано за портата. Ако политиката по корисник е важна, зачувајте го изворот или применете ја политиката пред преводот.

Патот на одговорот заслужува исто внимание. Забележете која рута ја избира одредиштето за пакетот за враќање, бидејќи асиметричното враќање ја заобиколува проверката со состојба и создава врска што се воспоставува и потоа запира. Двете насоки мора да ја преминат нацртаната граница, инаку границата е декорација.

sudo tcpdump -ni inside0 host 10.20.5.10
ip route get 10.20.5.10
sudo iptables -t nat -S POSTROUTING

Прифатете дозволена и одбиена операција

Тестирајте од вистинскиот далечински клиент, а не од административен домаќин, бидејќи административниот домаќин обично стои таму каде корисникот никогаш нема да биде. Една дозволена операција докажува дека патот работи, а една одбиена докажува дека политиката воопшто нешто прави. Извршете ги двете по секоја промена на поставеноста и забележете го идентитетот на изворот и одредиштето што ги користевте. Тест што докажува само успех не може да разликува точно правило од правило што недостасува.

Потоа тестирајте ги случаите што менуваат состојба: повторно поврзување, сесија што ја надживува ротацијата на клучеви и отказ на самиот уред. Споредете ги ажурирањата, капацитетот и обновувањето како дел од истиот распоред, бидејќи еден уред што држи неколку логички контроли е еден домен на отказ со неколку етикети. Ни втората кутија не е независна кога заеднички административни податоци за најава или неограничена рута ја победуваат границата што требаше да ја создадат.

Документирајте ја крајната точка, дешифрираниот пат и контролата што го ограничува. Тие три реда остануваат значајни како и да се нарекува имплементацијата.