Шифр тайлагдсан замыг зур: VPN төхөөрөмж бодлогыг хаана хэрэгжүүлдэг
Шифрлэгдсэн сонсогч дээр зогсдог диаграм нь чухал бодлогыг харуулдаггүй. Шифр тайлагдсан замыг зур, дараа нь хүсэлт юуг гаталж байгаагаар байршлуудыг харьцуул.
Нийлүүлэгчдийн диаграм ихэвчлэн шифрлэгдсэн сонсогч дээр зогсдог, учир нь нийтийн хаягтай хэсэг нь тэр. Аюулгүй байдлын байр суурийг тодорхойлдог асуулт бол шифр тайлагдсаны дараа юу болох вэ, пакет энгийн IP болж маршрутын хүснэгтийн зөвшөөрсөн бүх зүйлд хүрч чадна. Хэрэв хэн ч тэр хэсгийг зураагүй бол түүний эзэн ч байхгүй. Доорх гарын авлага эхлээд түүнийг зурж, дараа нь шифр тайлагдсан хүсэлт бодитоор юуг гаталж байгаагаар байршлуудыг харьцуулна.
Пакетыг шифр тайлагдсаны дараа зур, өмнө нь биш
Гадаад зам бол нийлүүлэгчдийн баримтжуулдаг хэсэг: нийтийн төгсгөлийн цэг, холболтыг хүлээн авдаг тээврийн бодлого, мөн түүнийг дуусгадаг үйлчилгээ. Дотоод зам нь пакет туннелийн толгойгоо алдах тэр мөчид эхэлдэг бөгөөд тэндээс туннелтэй ямар ч холбоогүй маршрут болон шүүлтийн дүрмүүд удирддаг. Хоёулыг нэг хуудсанд тавь, учир нь зөвхөн эхнийхийг харуулсан диаграм нь элсэлт ба зөвшөөрөл нэг шийдвэр гэж сануулдаг. Тийм биш, мөн тэдгээрийн хоорондын зай нь ихэнх байршил алдаа гардаг газар.
Дотоод хэсгийг сум биш, нэрлэсэн төхөөрөмжийн төрлүүдтэй дугаарласан дараалал хэлбэрээр бич. Сум нь хүсэлт шүүлтүүрээр дамжих эсэхийг нуудаг, дамжих эсэх нь бүх асуулт юм. Доорх алхам бүр төхөөрөмж болон тэнд үйлчилж буй дүрмийн багцыг нэрлэдэг тул дутагдаж буй шүүлтүүр шугамаар сануулсан зүйл биш, цоорхой хэлбэрээр харагдана.
- Алсын клиент: туннелийг үүсгэдэг хэрэглэгчийн төхөөрөмж.
- Ирмэгийн бодлого: гадаад тээврийг нийтийн сонсогч руу хүлээн авдаг дүрмийн багц.
- Дуусгагч төхөөрөмж: пакетыг тайлж, энгийн IP-д хүлээлгэн өгдөг VPN-ийн төгсгөлийн цэг.
- Дотоод шүүлтүүр: клиентээс үйлчилгээ рүү чиглэсэн урсгалыг хязгаарладаг дамжуулалт эсвэл аюулгүй байдлын бүлгийн дүрмийн багц.
- Аппликейшн хост: шифр тайлагдсан хүсэлтийг хүлээн авдаг үйлчилгээ.
Хоёр бодлого, хоёр эзэн
Гадаад бодлого нь хэн туннель барьж болохыг хариулж, дуусгагч үйлчилгээ рүү тээврийг хүлээн авдаг дүрмүүдэд илэрдэг. Дотоод бодлого нь баталгаажсан хэрэглэгч ямар үйлчилгээнд хүрч болохыг хариулж, дамжуулалтын дүрэм, аюулгүй байдлын бүлэг эсвэл аппликейшн дотор өөртөө байрладаг. Нэг төхөөрөмж хоёулыг нь агуулж болох бөгөөд хэд хэдэн төхөөрөмжтэй загварт ч хоёулаа байдаг. Тэднийг тус тусад нь нэрлэх нь л хэрэглэгч аппликейшнд хүрэхгүй үед аль нь бүтэлгүйтсэнийг хэлэх боломжийг олгоно.
Сертификат, олон хүчин зүйлийн баталгаажуулалт зэрэг элсэлтийн хяналтууд зөвхөн таних тэмдэгт хариулдаг, өөр юунд ч биш. Тэд байршлыг тодорхойлдоггүй бөгөөд хэрэглэгч дотогш орсны дараа нөөц тус бүрийн зөвшөөрөл өгдөггүй.
Байршил нь хүсэлт ямар хил гатлахыг тодорхойлно
Гурван байршил нийтлэг бөгөөд тус бүр нь шифр тайлагдсан хүсэлт ямар хил гатлахыг өөрчилдөг. Тэдгээрийг тэнд юу дуусах, юу нээлттэй текстийг харж чадах, ямар хяналт хүсэлтийг хараахан татгалзаж чадах, төхөөрөмжтэй хамт юу бүтэлгүйтэхээр харьцуул. Доорх хүснэгт ерөнхий асуултын оронд тэр дөрвөн баганыг ашигладаг, учир нь хариулт бүр тусдаа загварын шийдвэр юм.
| Placement | What terminates there | What sees plaintext | Which control can still deny | Failure domain |
|---|---|---|---|---|
| Termination in a dedicated segment | A dedicated VPN endpoint | The endpoint and anything on its segment | The filter between that segment and the application | The segment path can bypass the filter if no rule sits on it |
| Termination on the edge firewall | The firewall's public listener | The firewall, after decapsulation | The firewall's inner rule set | Admission and inspection fail together |
| Termination on the protected LAN | The appliance's LAN leg | Every host on the protected LAN | Only a host control or a downstream gateway | The appliance and the protected hosts fail together |
Гурав дахь байршил нь хэрэгжилтийг чимээгүй арилгадаг байршил, учир нь хамгаалагдсан сегмент дээрх хэсэг нь төхөөрөмжид диаграм харуулахгүй байж болох шууд замыг өгдөг. Зургийг биш, интерфэйс ба маршрутыг шалга: ip route get 10.20.5.10 пакет ямар интерфэйсээр гарахыг мэдээлдэг бөгөөд хариулт нь ихэвчлэн загварын таамагласан хариулт биш. Галт ханын байр суурийн хоорондын урсгалыг хянах сонгодог үүрэг, дараах баримт бичигт тайлбарласны дагуу,NIST SP 800-41 энд ашигтай сорилт, учир нь хамгаалагдсан сүлжээ рүү хязгааргүй хэсэгтэй төхөөрөмж тийм ч ихийг хянадаггүй. Маршрут хайх нь илтгэлийн диаграмаас илүү шударга диаграм.
Администраци нь өөрийн тодорхой зөвшөөрөгдсөн зам дээр байх ёстой. Хэрэглэгчдэд аппликейшнд хүрэх боломж олгох нь тэдэнд төхөөрөмжийн удирдлагын интерфэйсэд хүрэх боломж олгохыг хэзээ ч шаарддаггүй бөгөөд хоёр зөвшөөрлийг өөр өөр дүрмээс өгөх ёстой. Хоёр замыг тусад нь аудитал, учир нь хуваалцсан дүрэм аль нь нээгдсэнийг нуудаг.
Орчуулга нь доод дүрмүүд юу харж чадахыг өөрчилдөг
Эх сурвалжийн орчуулга нь тохиромжтой бөгөөд мэдээллийг устгадаг. masquerade-ийн дараа клиент бүр төхөөрөмж шиг харагддаг тул хэрэглэгчдийг ялгахаар бичсэн доод дүрэм үүнийг хийж чадахаа больдог. Энэ нь зөвхөн логны асуудал биш, бодлогын асуудал юм: клиентийн хаягт түлхүүрлэсэн дүрэм чимээгүйгээр гарц руу түлхүүрлэсэн дүрэм болдог. Хэрэв хэрэглэгч тус бүрийн бодлого чухал бол эх сурвалжийг хадгал эсвэл бодлогыг орчуулгын өмнө хэрэгжүүл.
Хариу замыг мөн адил шалгах ёстой. Очих газар буцах пакетэд ямар маршрут сонгохыг тэмдэглэ, учир нь тэгш бус буцалт нь төлөвтэй шалгалтыг тойрч, тогтсоны дараа гацдаг холболт үүсгэдэг. Хоёр чиглэл таны зурсан хилийг гатлах ёстой, эс тэгвээс хил бол гоёл чимэглэл.
sudo tcpdump -ni inside0 host 10.20.5.10
ip route get 10.20.5.10
sudo iptables -t nat -S POSTROUTINGЗөвшөөрөгдсөн ба татгалзсан үйлдлийг хүлээн ав
Удирдлагын хостоос биш, бодит алсын клиентээс турш, учир нь удирдлагын хост ихэвчлэн хэрэглэгч хэзээ ч орохгүй газар байрладаг. Нэг зөвшөөрөгдсөн үйлдэл зам ажиллаж байгааг, нэг татгалзсан үйлдэл бодлого огт юу ч хийж байгааг нотолно. Байршил өөрчлөгдсөн бүрд хоёулыг ажиллуулж, ашигласан эх сурвалжийн таних тэмдэг болон очих газрыг тэмдэглэ. Зөвхөн амжилтыг нотолдог сорилт зөв дүрмийг дутуу дүрмээс ялгаж чадахгүй.
Дараа нь төлөвийг өөрчилдөг тохиолдлуудыг турш: дахин холболт, түлхүүрийн эргэлтийг даван туулах сесс, төхөөрөмжийн өөрийнх нь эвдрэл. Шинэчлэлт, багтаамж, сэргээлтийг нэг байршлын хэсэг гэж харьцуул, учир нь хэд хэдэн логик хяналт агуулсан нэг төхөөрөмж нь хэд хэдэн шошготой нэг эвдрэлийн домэйн юм. Хуваалцсан административ нэвтрэх мэдээлэл эсвэл хязгааргүй маршрут нь бий болгох ёстой байсан хилийг ялвал хоёр дахь хайрцаг ч бие даасан биш.
Төгсгөлийн цэг, шифр тайлагдсан зам, түүнийг хязгаарладаг хяналтыг баримтжуул. Тэр гурван мөр хэрэгжүүлэлтийг хэрхэн нэрлэсэн ч утга учиртай хэвээр байна.