Wara d’deċifrar: liema politika tara l-ewwel it-traffiku VPN tiegħek

Il-kejbil ma jgħid xejn dwar liema regola pproċessat il-fluss. Semmi l-ganċ tal-politika u l-qabża li jmiss, imbagħad ipprova li t-tweġiba tgħaddi mill-istess triq.

Fluss VPN jista jkun perfettament encrypted u perfettament awtentikat u xorta jinżel fejn ħadd ma ppjana. Il-kejbil li ddaħħal ma jiddeterminax liema regola tipproċessa l-pakkett intern; dan jagħmluh il-ganċ tal-politika u r-rotta. Għalhekk żewġ disinni li jidhru l-istess fuq dijagramma tar-rack jista jkollhom infurzar kompletament differenti. L-għażla bejniethom tibda bl-isem tal-kontroll li jara l-fluss deċifrat l-ewwel.

Iddeċiedi bil-ganċ tal-politika, mhux bil-port

Kull pjattaforma VPN tevalwa traffiku deċifrat f’xi punt qabel ma tgħaddih, u dak il-punt għandu isem fil-konfigurazzjoni. Fuq pjattaforma waħda huwa filtru tal-politika tal-grupp, fuq oħra politika tal-interface jew par taż-żoni, u fuq apparat li jinstradja jista jkun biss il-katina forward. Il-ganċ jinfurza r-regola, filwaqt li l-port tas-switch huwa biss il-post fejn jispiċċa l-kejbil. Li ssib il-ganċ hija l-ewwel deċiżjoni, għax kollox ieħor huwa tqegħid fir-rigward tiegħu.

Qabel ma tara l-ħardwer, ikteb il-fluss: min hu s-sors, fejn sejjer, liema protokoll iġorru u liema servizz huwa permess. Imbagħad sib il-kontroll li jinfurza kull waħda minn dawn l-erba fatti.

Żewġ toroq, żewġ stejjer differenti ta infurzar

Żewġ forom huma komuni, u kull waħda tista tkun korretta għal ħtieġa differenti.

endpoint -> shared inside subnet -> server
endpoint -> dedicated transit -> policy firewall -> server subnet

L-ewwel forma tista tinforza kollox meħtieġ fil-gateway, sakemm il-politika tal-gateway tkun miktuba għal dak id-destinazzjoni u s-server ma jkollux triq li ddur magħha. It-tieni forma żżid fruntiera, imma biss jekk ir-rotot u l-politika tassew iġegħlu t-traffiku jgħaddi minnha. Server fl-istess segment bħall-punt finali jista qatt ma jsegwi l-qabża intermedja immaġinata. Id-dijagramma turi l-intenzjoni, u t-tabella tar-rotot turi x’jiġri.

Ivverifika b’tfittix ta rotta, mhux bit-tpinġija. L-interface li minnha joħroġ il-pakkett u l-qabża li jmiss li jagħżel jiddeterminaw jekk it-tieni forma taġixxix kif iddisinjata.

ip route get 10.30.7.20
sudo iptables -S FORWARD
sudo tcpdump -ni inside0 host 10.30.7.20

Aqsam it-topoloġija mill-iżolament

Li taqsam subnet ma jagħmilx post mhux affidabbli, u transitu dedikat ma jagħmilx post protett. Jiddeċiedi r-restrizzjoni li tassew tiġi applikata, il-ħsieb li tassew iseħħ, u min jamministra kull biċċa. Li tgħodd is-switches ma jgħid xejn dwar ebda waħda mit-tlieta. Iddeċiedi mill-politika u r-rotta, imbagħad ħalli t-topoloġija ssegwi d-deċiżjoni.

Ittratta l-popolazzjonijiet tat-traffiku b’mod separat ukoll. Il-pools tal-aċċess mill-bogħod, il-prefissi minn sit għal sit u n-networks tal-linja privata jistgħu jaqsmu apparat wieħed u xorta jeħtieġu regoli differenti, għax l-identità u r-riskju tagħhom huma differenti. Regola miktuba għal popolazzjoni waħda tkopri l-oħrajn bil-kwiet meta jaqsmu pjan tal-indirizzi.

Iċċekkja l-falliment u l-immaniġġjar għal kull tqegħid

Kull tqegħid għandu mod ta falliment, u l-mistoqsija utli hija x’għadu jaħdem meta komponent jieqaf. Diversi interfaces loġiċi fuq apparat mejjet wieħed ma jagħtux irkupru indipendenti, u firewall aktar l isfel li jaqsam l-istess provvista jew l-istess amministratur mhuwiex it-tieni fruntiera. Staqsi fejn tgħaddi t-triq tal-immaniġġjar, għax console li tintlaħaq biss mit-tunnel mhijiex triq ta rkupru xejn; ssh [email protected] true minn barra t-tunnel hija l-iktar mod irħis biex tipprova li l-console ma tiddependix minnu. Id-dokumentazzjoni tal-politika tal-grupp ta pjattaforma waħda tqiegħed il-filtru tagħha fuq traffiku wara d-deċifrar u qabel l-encryption, li huwa eżattament it-tip ta ganċ imsemmi li għandu jitfittex fi kwalunkwe prodott.

Ikteb l-istorja tal-falliment ta kull kandidat ħdejn l-istorja tal-infurzar. Tqegħid li jirbaħ fl-ispezzjoni u jitlef fl-irkupru huwa skambju, u għandu jiġi rreġistrat bħala tali minflok ma jinstab waqt inċident.

Aċċetta b’fluss permess u b’wieħed miċħud

B’pjan tat-test approvat, iċċekkja tliet affarijiet mis-sors VPN veru: applikazzjoni li għandha taħdem, riżorsa li m’għandhiex, u d-direzzjoni li minnha tirritorna t-tweġiba. Iċ-ċaħda hija l-prova li l-politika hija involuta, filwaqt li l-fluss permess jagħti prova biss li teżisti triq.

Ħares it-triq magħżula u r-riżultat tal-politika flimkien, għax riżultat mingħajr triq ma jistax jiġi riprodot u triq mingħajr riżultat ma tistax tiġi difiża. Dak il-par huwa ħafna iktar utli għall-għażla ta punt ta konnessjoni minn kwalunkwe stqarrija dwar liema saff ta switching huwa intrinsikament iktar sigur.

Artikli relatati