Како да се ограничи пристапот меѓу две канцеларии поврзани со VPN
Тунелот меѓу локациите не е взаемна доверба. Направете матрица од извор, одредиште и услуга, примени ја на дешифриран сообраќај и докажете и одбивање.
Тунелот меѓу локациите одговара на едно прашање, дали двете канцеларии можат да разменуваат пакети, а го остава отворено важното: кој уред од филијалата смее да достигне која централна услуга. Третирањето на тунелот како взаемна доверба е патот по кој гостински лаптоп завршува на истата рута како финансискиот сервер. Решението не е подобар тунел, туку јасен список на дозволи што се применува по дешифрирањето. Овој прирачник го води тој список од дефиниција до докажано одбивање.
Работете по овој редослед и не ја проширувајте рутата на тунелот додека не поминат чекорите на политиката подолу.
Напишете ја матрицата пред да ја допрете портата
Корисниот ред именува три нешта: изворна група, одредишен хост или услужна мрежа, и протоколот и портата што апликацијата навистина ги користи. Филијалата и дата центарот не се записи. Приватниот DNS и услугите за автентикација заслужуваат свои редови само кога апликацијата не може да работи без нив.
Групирајте ги изворите по улога, а не по погодност на подмрежата: вработени, гости, администрација. Кога сите три делат една рамна LAN, портата не може да ги разликува на мрежно ниво, па контролата на идентитет или сегментацијата мора да дојдат први. Потоа ставете ја матрицата писмено, со сопственик и датум на преглед во секој ред.
| Извор | Одредиште | Услуга | Одлука |
|---|---|---|---|
| вработени во филијалата | апликација за резервации 10.10.5.10 | TCP 443 | дозволи на портата што дешифрира |
| вработени во филијалата | VLAN за администрација на сервери | било кој | имплицитно одбивање |
| гостински Wi-Fi | било кој централен опсег | било кој | одбиј пред тунелот |
| административен скок хост | VLAN на сервери | TCP 22 и 3389 | дозволи со MFA, firewall-от на хостот дополнително стеснува |
Применете го таму каде пакетите се дешифрираат
Правилата што дозволуваат IKE и ESP ја градат само надворешната страна на тунелот. Внатрешниот сообраќај пристигнува отворено на интерфејсот на тунелот, и токму таму е местото на списокот на дозволи: синџир за препраќање на уредот што дешифрира, стандардно отфрлање, едно правило за секој ред од матрицата. На Linux порти тоа значи овозможено препраќање и филтер правила на уредот на тунелот, а не на физичката врска, како што објаснува водичот на strongSwan за препраќање.
Селекторите на сообраќај се одлука за рутирање, а не за авторизација. Широк селектор што ги покрива двете подмрежи може да биде точен за рутирањето, додека firewall-от сѐ уште дозволува само TCP 443 кон еден хост. Селекторот се договара за тунелот и опишува што смее да влезе во него, а не што смее да користи даден уред. Никогаш не проширувајте правило на firewall-от затоа што селекторот е широк.
iptables -A FORWARD -i tun0 -s 10.20.0.0/24 -d 10.10.5.10 -p tcp --dport 443 -j ACCEPT
iptables -A FORWARD -i tun0 -j DROPNAT и преклопувачките подмрежи ги менуваат правилата
Кога портата на филијалата го преведува секој хост во една адреса пред тунелот, секој ред заснован на извор се распаѓа во таа една адреса. Или престанете да го преведувате сообраќајот на тунелот, или прифатете дека правилата мора да се потпираат на нешто друго, како оригиналната изворна адреса запишана пред преводот. Далечниот крај го има истиот проблем, бидејќи одредишниот хост ја гледа адресата по NAT, а не оригиналната.
Преклопувачките опсези се другата стапица. Две канцеларии што и двете користат 192.168.1.0/24 не можат да се опишат во една табела на политика без мапирање на една страна, а мапирањето не е замена за адресирање што не се судира. Поправете го планот пред да напишете правила што подоцна ќе треба да ги одмотувате.
Докажете одбивање, не само успех
Тестирањето само на дозволената апликација докажува многу малку, бидејќи попустливо правило некаде погоре го дава истиот резултат.
Од обичен уред во филијалата достигнете ја предвидената услуга и потврдете дека целата сесија работи. Потоа пробајте одредиште што мора да остане затворено, како административна порта на сервер со кој филијалата нема работа, и прочитајте го бројачот или записот во дневникот што го отфрлил. Исклучувањето на множеството правила за да проверите дали работи го прави тестот неважечки и ја остава портата отворена додека гледате.
Држете го списокот жив
Апликациите се преместуваат, а правилото што ја надживува својата апликација станува дупка што никој не ја поседува. Прикачете го датумот на преглед на редот и сменете го опсегот на селекторот и правилото на firewall-от во истиот чекор на одржување кога услугата ја менува адресата.
Ограничувањата на ниво на хост сѐ уште се важни зад тунелот: сопствениот firewall на серверот треба да го прифаќа опсегот на филијалата само за услугата што ја објавува. Два слоја што се согласуваат полесно се ревидираат од еден слој на кој целосно му се верува.