Дајте им на VPN корисниците пристап до една услуга, а не до подмрежата

Изведувачот му треба една внатрешна веб-апликација и ништо друго, а лесниот одговор е да му дадете тунел во подмрежата на серверот. Тоа работи до денот кога ќе ја скенира. Потесниот дизајн бара повеќе размислување, бидејќи достапноста, рутирањето и дозволата на апликацијата се три одделни контроли што мора да се согласат.

Напишете го барањето како услуга, а не како подмрежа

Започнете со целниот хост, протоколот и портата, потоа додајте ја групата корисници или уреди што треба да стигне до него. Вклучете ја приватната DNS зона само ако апликацијата решава име, и вклучете давател на идентитет само ако текот на најава го бара. Сето друго е зависност што сето уште не сте ја оправдале.

Подмрежата е детаљ за имплементација на мрежниот тим, додека услугата е она што го побара бизнисот и единицата што може да се прегледа и повлече.

Ако списокот на зависности порасне над три ставки, на апликацијата веројатно ѝ треба сопствен разговор за дизајн.

Рутирајте тесно, но спроведувајте на друго место

Тесната рута или селектор му кажува на тунелот кои пакети да ги носи; тоа не е политика за авторизација. Филтерот на портата, ѕидот за заштита на целниот хост и сопствениот модел на дозволи на апликацијата се местата каде што се одлучува за пристапот. Рутата што покрива една адреса е добар почеток и не е контролата што го запира решениот корисник. Токму тоа одвојување ви овозможува да го промените филтерот без да го преработите тунелот.

Обратно, широка рута со строг филтер може да биде законска, но само ако сите вклучени знаат која од двете го спроведува.

Документирајте ја точката на спроведување експлицитно, инаку следната промена случајно ќе ја премести.

Проверете го изворот што услугата навистина го гледа

Целта гледа или адреса од базенот на клиентот или адресата на портата, зависно од тоа дали преведувате. Правилата на ѕидот за заштита на хостот и дневниците мора да одговараат на вистинскиот извор. Ако неколку корисници делат преведен извор, ниту едно правило по корисник на тој хост не може да ги разликува, и тоа е ограничување на дизајнот, не грешка.

Изберете го преводот намерно: го поедноставува рутирањето и ја уништува идентитетот на изворот, што е важно за ревизија и за правила по корисник.

Запишете кое од двете го избравте, до правилото што зависи од него.

Авторизацијата на апликацијата не е изборна

Доаѓањето до порта не доделува улога. На апликацијата и понатаму ѝ треба сопствена најава и сопствени дозволи, бидејќи мрежниот слој не може да изрази кои записи корисникот смее да ги уредува. Услуга што верува на секое барање од внатрешната подмрежа претвора тесен тунел во целосен пристап за едно компромитирано уверение. Тунелот одлучува кој смее да го отвори сокетот, а апликацијата одлучува што смее да се прави со него.

Тука тесниот дизајн се исплатува двократно, бидејќи помалку достапни хостови значи помалку места каде грешка на ниво на апликација може да се искористи.

Држете го мрежното правило и улогата на апликацијата во одделни системи и повлечете ги одделно.

Докажете го и дозволениот и одбиениот пат

Поврзете се како овластен корисник и изведете една безопасна репрезентативна операција, потоа обидете се со одредиште што треба да биде недостапно. Дизајн што ја тестира само првата половина не е тестиран, и токму тестот на одбивање го докажува дизајнот. Тестирајте нова сесија по секоја промена на правилото и погледнете го повратниот пат ако барањата пристигнуваат, а одговорите не.

Не ги исклучувајте филтрите за препраќање за да помине тестот за прифаќање, бидејќи тоа ја менува работата што се тестира.

Кога на корисникот повеќе не му треба услугата, повлечете го далечинскиот идентитет и улогата на апликацијата во нивните соодветни системи и запишете ги двете. Водичот на strongSwan за препраќање ја покрива страната на портата од патот.