Lukis laluan dinyahsulit: di mana perkakas VPN menguatkuasakan dasar

Gambar rajah vendor biasanya berhenti pada pendengar tersulit, kerana bahagian itulah yang mempunyai alamat awam. Soalan yang menentukan pendirian keselamatan ialah apa yang berlaku selepas penyahsulitan, apabila paket menjadi IP biasa dan boleh mencapai apa sahaja yang dibenarkan jadual penghalaan. Jika tiada siapa melukis bahagian itu, tiada siapa memilikinya. Runbook di bawah melukisnya dahulu dan kemudian membandingkan peletakan mengikut apa yang sebenarnya dilalui permintaan yang dinyahsulit.

Lukis paket selepas penyahsulitan, bukan sebelumnya

Laluan luar ialah bahagian yang didokumenkan vendor: titik akhir awam, dasar pengangkutan yang menerima sambungan, dan perkhidmatan yang menamatkannya. Laluan dalam bermula pada saat paket kehilangan pengepala terowong, dan dari situ ia ditadbir oleh peraturan penghalaan dan penapisan yang tidak ada kaitan dengan terowong. Letakkan kedua-duanya pada halaman yang sama, kerana gambar rajah dengan yang pertama sahaja memberi gambaran bahawa penerimaan dan kebenaran ialah satu keputusan. Ia bukan satu, dan jurang antaranya ialah tempat kebanyakan peletakan tersilap.

Tulis bahagian dalam sebagai jujukan bernombor dengan jenis peranti bernama, bukan sebagai anak panah. Anak panah menyembunyikan sama ada permintaan melintasi penapis, dan melintasi atau tidak itulah keseluruhan persoalannya. Setiap lompatan di bawah menamakan peranti dan set peraturan yang bertindak di situ, jadi penapis yang hilang muncul sebagai jurang dan bukan sesuatu yang dibayangkan oleh garisan.

1. Klien jauh: peranti pengguna yang mencipta terowong.
2. Dasar tepi: set peraturan yang menerima pengangkutan luar ke pendengar awam.
3. Perkakas penamat: titik akhir VPN yang menyahkapsul dan menyerahkan paket kepada IP biasa.
4. Penapis dalam: set peraturan pemajuan atau kumpulan keselamatan yang mengehadkan trafik klien ke perkhidmatan.
5. Hos aplikasi: perkhidmatan yang menerima permintaan yang dinyahsulit.

Dua dasar, dua pemilik

Dasar luar menjawab siapa yang boleh membina terowong, dan ia dinyatakan dalam peraturan yang menerima pengangkutan ke perkhidmatan penamat. Dasar dalam menjawab perkhidmatan mana yang boleh dicapai pengguna yang disahkan, dan ia hidup dalam peraturan pemajuan, kumpulan keselamatan atau aplikasi itu sendiri. Satu peranti boleh menempatkan kedua-duanya, dan reka bentuk dengan beberapa peranti masih mempunyai kedua-duanya. Menamakan kedua-duanya secara berasingan itulah yang membolehkan anda menyatakan yang mana gagal apabila pengguna tidak dapat mencapai aplikasi.

Kawalan penerimaan seperti sijil dan pengesahan berbilang faktor menjawab identiti dan tiada yang lain. Ia tidak menentukan peletakan dan tidak memberikan kebenaran setiap sumber setelah pengguna berada di dalam.

Peletakan menentukan sempadan mana yang dilalui permintaan

Tiga peletakan adalah lazim, dan setiap satu mengubah sempadan mana yang dilalui permintaan yang dinyahsulit. Bandingkannya mengikut apa yang tamat di situ, apa yang boleh melihat teks biasa, kawalan mana yang masih boleh menolak permintaan, dan apa yang gagal bersama perkakas. Jadual di bawah menggunakan empat lajur itu dan bukan soalan umum, kerana setiap jawapan ialah keputusan reka bentuk yang berasingan.

Peletakan ketiga ialah yang menghapuskan penguatkuasaan secara senyap, kerana bahagian pada segmen terlindung memberi perkakas laluan langsung yang mungkin tidak ditunjukkan gambar rajah. Periksa antara muka dan laluan, bukan gambar: ip route get 10.20.5.10 melaporkan antara muka mana yang akan dilalui paket, dan jawapannya selalunya bukan yang diandaikan reka bentuk. Peranan klasik tembok api untuk mengawal trafik antara pendirian, seperti yang diterangkan dalamNIST SP 800-41, ialah ujian yang berguna di sini, kerana peranti dengan bahagian tanpa had ke rangkaian terlindung tidak mengawal banyak. Pencarian laluan ialah gambar rajah yang lebih jujur daripada yang ada dalam pembentangan.

Pentadbiran tergolong pada laluannya sendiri yang dibenarkan secara jelas. Membenarkan pengguna mencapai aplikasi tidak pernah memerlukan membenarkan mereka mencapai antara muka kawalan perkakas, dan kedua-dua kebenaran harus diberikan daripada peraturan yang berbeza. Audit kedua-dua laluan secara berasingan, kerana peraturan kongsi menyembunyikan yang mana telah dibuka.

Penterjemahan mengubah apa yang boleh dilihat peraturan hiliran

Penterjemahan sumber itu mudah dan ia memusnahkan maklumat. Selepas masquerade setiap klien kelihatan seperti perkakas, jadi peraturan hiliran yang ditulis untuk membezakan pengguna tidak lagi dapat berbuat demikian. Ini bukan sekadar masalah log, ini masalah dasar: peraturan yang berkunci pada alamat klien secara senyap menjadi peraturan yang berkunci pada gateway. Jika dasar setiap pengguna penting, kekalkan sumber atau kuatkuasakan dasar sebelum penterjemahan.

Laluan balasan juga memerlukan pemeriksaan yang sama. Catat laluan mana yang dipilih destinasi untuk paket balasan, kerana balasan tak simetri memintas pemeriksaan stateful dan menghasilkan sambungan yang terbentuk lalu tersekat. Kedua-dua arah mesti melintasi sempadan yang anda lukis, jika tidak sempadan itu hiasan.

sudo tcpdump -ni inside0 host 10.20.5.10
ip route get 10.20.5.10
sudo iptables -t nat -S POSTROUTING

Terima satu operasi yang dibenarkan dan satu yang ditolak

Uji dari klien jauh sebenar, bukan dari hos pengurusan, kerana hos pengurusan biasanya duduk di tempat yang pengguna tidak akan pernah sampai. Satu operasi yang dibenarkan membuktikan laluan berfungsi, dan satu yang ditolak membuktikan dasar itu melakukan sesuatu. Jalankan kedua-duanya selepas setiap perubahan peletakan, dan catat identiti sumber serta destinasi yang anda gunakan. Ujian yang hanya membuktikan kejayaan tidak dapat membezakan peraturan yang betul daripada yang hilang.

Kemudian uji kes yang mengubah keadaan: sambungan semula, sesi yang bertahan melepasi putaran kunci, dan kegagalan perkakas itu sendiri. Bandingkan kemas kini, kapasiti dan pemulihan sebagai sebahagian daripada susun atur yang sama, kerana satu perkakas yang memegang beberapa kawalan logik ialah satu domain kegagalan dengan beberapa label. Kotak kedua juga tidak bebas apabila kelayakan pentadbiran kongsi atau laluan tanpa had mengalahkan sempadan yang sepatutnya diciptanya.

Dokumenkan titik akhir, laluan dinyahsulit dan kawalan yang mengehadkannya. Ketiga-tiga baris itu kekal bermakna apa pun nama pelaksanaannya.