VPN-оор холбогдсон хоёр оффисын хоорондох хандалтыг хэрхэн хязгаарлах вэ

Сайт хоорондын туннель нэг л асуултад хариулдаг, хоёр оффис пакет солилцож чадах эсэх, харин чухал асуултыг нээлттэй үлдээдэг: аль салбарын төхөөрөмж аль төв үйлчилгээнд хүрч чадах вэ. Туннелийг харилцан итгэлцэл гэж үзэх нь зочны зөөврийн компьютер санхүүгийн сервертэй нэг замд орох шалтгаан болдог. Шийдэл нь илүү сайн туннель биш, харин тайлалтын дараа хэрэгждэг тодорхой зөвшөөрлийн жагсаалт юм. Энэхүү гарын авлага тэр жагсаалтыг тодорхойлолтоос нотлогдсон татгалзал хүртэл хүргэдэг.

Энэ дарааллаар ажиллаж, доорх бодлогын алхмууд давах хүртэл туннелийн замыг өргөтгөж болохгүй.

Гарцыг хүрэхээс өмнө матрицыг бич

Ашигтай мөр гурван зүйлийг нэрлэдэг: эх сурвалжийн бүлэг, очих газрын хост эсвэл үйлчилгээний сүлжээ, мөн програмын бодитоор ашигладаг протокол, порт. Салбар болон өгөгдлийн төв нь бичлэг биш. Хувийн DNS болон баталгаажуулалтын үйлчилгээнүүд нь програм тэдгээргүйгээр ажиллах боломжгүй үед л өөрийн мөртэй болно.

Эх сурвалжуудыг дэд сүлжээний тав тух биш, үүргээр нь бүлэглэ: ажилчид, зочид, удирдлага. Гурав нь нэг хавтгай LAN хуваалцахад гарц тэднийг сүлжээний түвшинд ялгаж чадахгүй тул таних хяналт эсвэл сегментчлэл эхэнд байх ёстой. Дараа нь матрицыг мөр бүрт эзэмшигч, хянах огноотойгоор бичгээр үлдээ.

Пакетууд тайлагдах газарт хэрэгжүүл

IKE ба ESP-д зөвшөөрөл өгдөг дүрмүүд зөвхөн гадаад туннелийг бүтээдэг. Дотоод трафик туннелийн интерфейс дээр илэн далангүй ирдэг бөгөөд зөвшөөрлийн жагсаалтын байр нь яг тэнд: тайлдаг төхөөрөмж дээрх дамжуулах гинж, анхдагч хаях, матрицын мөр бүрт нэг дүрэм. Linux гарцуудад энэ нь дамжуулалт идэвхтэй, шүүлтүүрийн дүрмүүд физик холбоос дээр биш, туннелийн төхөөрөмж дээр байна гэсэн үг, strongSwan-ы дамжуулалтын гарын авлага тайлбарласны адил.

Трафикийн селекторууд нь маршрутын шийдвэр, эрх олгох шийдвэр биш. Хоёр дэд сүлжээг хамарсан өргөн селектор нь маршрутлалтад зөв байж болох ч галт хана нэг хост руу зөвхөн TCP 443-ыг зөвшөөрсөн хэвээр байна. Селектор нь туннельд тохиролцож, түүнд юу орж болохыг тодорхойлдог, аль нэг төхөөрөмж юу ашиглаж болохыг биш. Селектор өргөн гэсэн шалтгаанаар галт ханын дүрмийг хэзээ ч бүү өргөтгө.

iptables -A FORWARD -i tun0 -s 10.20.0.0/24 -d 10.10.5.10 -p tcp --dport 443 -j ACCEPT
iptables -A FORWARD -i tun0 -j DROP

NAT болон давхцах дэд сүлжээнүүд дүрмийг өөрчилдөг

Салбарын гарц туннелийн өмнө хост бүрийг нэг хаяг руу хөрвүүлбэл, эх сурвалжид тулгуурласан мөр бүр тэр нэг хаяг руу нурж унана. Нэг бол туннелийн трафикийг хөрвүүлэхээ болино, эсвэл дүрмүүд өөр зүйлд, жишээ нь хөрвүүлэхийн өмнө бүртгэсэн анхны эх хаягт тулгуурлах ёстойг хүлээн зөвшөөрнө. Алслагдсан тал ижил асуудалтай, учир нь очих хост анхны хаягийг биш NAT-ын дараах хаягийг хардаг.

Давхцах хүрээнүүд нь өөр нэг урхи. Хоёулаа 192.168.1.0/24 ашигладаг хоёр оффисыг нэг талыг зураглахгүйгээр нэг бодлогын хүснэгтэд дүрслэх боломжгүй бөгөөд зураглал нь мөргөлдөхгүй хаяглалтыг орлохгүй. Дараа нь задлах дүрмүүдийг бичихээс өмнө төлөвлөгөөгөө зас.

Зөвхөн амжилт биш, татгалзалтыг батал

Зөвхөн зөвшөөрөгдсөн програмыг турших нь маш бага зүйлийг баталдаг, учир нь дээр хаа нэгтээ өгөөмөр дүрэм мөн адил үр дүн гаргадаг.

Энгийн салбарын төхөөрөмжөөс зорьсон үйлчилгээнд хүрч, бүх сесс ажиллаж байгааг батал. Дараа нь хаалттай байх ёстой очих газрыг, жишээ нь салбарт хамаагүй сервер дээрх админ портыг туршиж, түүнийг хаясан тоолуур эсвэл лог бичлэгийг унш. Дүрмийн багц ажиллаж байгаа эсэхийг шалгахын тулд унтраах нь туршилтыг хүчингүй болгож, та харж байх зуур гарцыг нээлттэй үлдээдэг.

Жагсаалтыг амьд байлга

Програмууд нүүдэг бөгөөд өөрийн програмаас урт насалсан дүрэм нь хэн ч эзэмшдэггүй цоорхой болдог. Хянах огноог мөртэй холбож, үйлчилгээ хаяг солиход нэг засварын алхамд селекторын хүрээ болон галт ханын дүрмийг өөрчил.

Туннелийн цаана ч хостны түвшний хязгаарлалт чухал: серверийн өөрийн галт хана салбарын хүрээг зөвхөн өөрөө нийтэлдэг үйлчилгээнд хүлээн авах ёстой. Зохицсон хоёр давхарга бүрэн итгэдэг нэг давхаргаас аудитад хялбар.