Selepas penyahsulitan: dasar mana yang melihat trafik VPN anda dahulu

Aliran VPN boleh disulitkan sempurna dan disahkan sempurna namun masih mendarat di tempat yang tiada siapa rancang. Kabel yang anda palamkan tidak menentukan peraturan mana yang memproses paket dalam; cangkuk dasar dan laluan yang menentukannya. Oleh itu dua reka bentuk yang kelihatan sama pada rajah rak boleh mempunyai pelaksanaan yang jauh berbeza. Memilih antara keduanya bermula dengan menamakan kawalan yang melihat aliran dinyahsulit dahulu.

Putuskan melalui cangkuk dasar, bukan port

Setiap platform VPN menilai trafik dinyahsulit pada satu ketika sebelum menghantarnya, dan titik itu mempunyai nama dalam konfigurasi. Pada satu platform ia penapis dasar kumpulan, pada platform lain dasar antara muka atau pasangan zon, dan pada peranti yang menghala ia mungkin hanya rantai forward. Cangkuk yang menguatkuasakan peraturan, manakala port suis hanyalah tempat kabel berakhir. Menemui cangkuk ialah keputusan pertama, kerana segala-galanya ialah kedudukan berbanding dengannya.

Sebelum melihat perkakasan, tuliskan aliran: siapa sumbernya, ke mana ia pergi, protokol apa yang membawanya dan perkhidmatan apa yang dibenarkan. Kemudian cari kawalan yang menguatkuasakan setiap satu daripada empat fakta itu.

Dua laluan, dua kisah pelaksanaan berbeza

Dua bentuk lazim, dan setiap satu boleh betul untuk keperluan berbeza.

endpoint -> shared inside subnet -> server
endpoint -> dedicated transit -> policy firewall -> server subnet

Bentuk pertama boleh menguatkuasakan segala yang perlu di gateway, asalkan dasar gateway ditulis untuk destinasi itu dan pelayan tiada laluan memintas. Bentuk kedua menambah sempadan, tetapi hanya jika laluan dan dasar benar-benar membuat trafik melaluinya. Pelayan pada segmen yang sama dengan titik akhir mungkin tidak pernah mengikut lompatan perantaraan yang dibayangkan. Rajah menunjukkan niat, dan jadual laluan menunjukkan apa yang berlaku.

Sahkan dengan carian laluan, bukan dengan lukisan. Antara muka tempat paket keluar dan lompatan seterusnya yang dipilih menentukan sama ada bentuk kedua berkelakuan seperti direka.

ip route get 10.30.7.20
sudo iptables -S FORWARD
sudo tcpdump -ni inside0 host 10.30.7.20

Asingkan topologi daripada pengasingan

Berkongsi subnet tidak menjadikan tempat tidak dipercayai, dan transit khusus tidak menjadikannya dilindungi. Yang menentukan ialah sekatan yang benar-benar dilaksanakan, penghantaran yang benar-benar berlaku dan siapa mentadbir setiap bahagian. Mengira suis tidak mengatakan apa-apa tentang ketiga-tiganya. Putuskan daripada dasar dan laluan, kemudian biarkan topologi mengikut keputusan.

Rawat populasi trafik secara berasingan juga. Kolam akses jauh, awalan tapak-ke-tapak dan rangkaian talian persendirian boleh berkongsi satu peranti dan masih memerlukan peraturan berbeza, kerana identiti dan risiko mereka berbeza. Peraturan yang ditulis untuk satu populasi menutup yang lain secara senyap apabila mereka berkongsi pelan alamat.

Periksa kegagalan dan pengurusan bagi setiap penempatan

Setiap penempatan mempunyai mod kegagalan, dan soalan berguna ialah apa yang masih berfungsi apabila komponen berhenti. Beberapa antara muka logik pada satu peranti mati tidak memberi pemulihan bebas, dan firewall hiliran yang berkongsi bekalan atau pentadbir yang sama bukan sempadan kedua. Tanya di mana laluan pengurusan berjalan, kerana konsol yang hanya boleh dicapai melalui terowong sama sekali bukan laluan pemulihan; ssh [email protected] true dari luar terowong ialah cara termurah membuktikan konsol tidak bergantung padanya. Dokumentasi dasar kumpulan satu platform meletakkan penapisnya pada trafik selepas penyahsulitan dan sebelum penyulitan, iaitu jenis cangkuk bernama yang perlu dicari dalam mana-mana produk.

Tulis kisah kegagalan setiap calon di sebelah kisah pelaksanaan. Penempatan yang menang pada pemeriksaan dan kalah pada pemulihan ialah pertukaran, dan ia harus direkodkan sedemikian bukan ditemui semasa insiden.

Terima dengan aliran dibenarkan dan ditolak

Dengan pelan ujian diluluskan, periksa tiga perkara daripada sumber VPN sebenar: aplikasi yang sepatutnya berfungsi, sumber yang tidak sepatutnya, dan arah balasan kembali. Penolakan ialah bukti dasar terlibat, manakala aliran dibenarkan hanya membuktikan laluan wujud.

Simpan laluan dipilih dan hasil dasar bersama, kerana hasil tanpa laluan tidak boleh dihasilkan semula dan laluan tanpa hasil tidak boleh dipertahankan. Pasangan itu jauh lebih berguna untuk memilih titik sambungan daripada sebarang dakwaan tentang lapisan suis mana yang lebih selamat secara semula jadi.