Pinġi l-mogħdija deċifrata: fejn appliance VPN tinforza politika

Id-dijagrammi tal-fornituri normalment jieqfu fis-semmiegħa kriptata, għax dak huwa l-parti li għandha indirizz pubbliku. Il-mistoqsija li tiddeċiedi l-pożizzjoni tas-sigurtà hija x'jiġri wara d-deċifrar, meta l-pakkett isir IP ordinarju u jista' jilħaq kull ma tippermetti t-tabella tar-rotta. Jekk ħadd ma pinġa dik is-sieq, ħadd ma jippossiediha. Il-runbook hawn taħt ipinġiha l-ewwel u mbagħad iqabbel it-tqegħid skont dak li t-talba deċifrata tgħaddi minnu tassew.

Pinġi l-pakkett wara d-deċifrar, mhux qabel

Il-mogħdija ta' barra hija l-parti li jiddokumentaw il-fornituri: punt aħħari pubbliku, politika tat-trasport li taċċetta l-konnessjoni, u servizz li jtemmha. Il-mogħdija ta' ġewwa tibda fil-mument li l-pakkett jitlef l-intestatura tat-tunnel, u minn hemm jitmexxew minn regoli tar-rotta u tal-filtru li m'għandhom xejn x'jaqsmu mat-tunnel. Qiegħed it-tnejn fl-istess paġna, għax dijagramma biss bl-ewwel waħda tissuġġerixxi li l-ammissjoni u l-awtorizzazzjoni huma deċiżjoni waħda. Mhumiex, u d-distakk bejniethom huwa fejn ħafna mill-pożizzjonijiet jiżbaljaw.

Ikteb is-sieq ta' ġewwa bħala sekwenza nnumerata bi tipi ta' apparat msemmija, mhux bħala vleġġa. Vleġġa taħbi jekk it-talba tgħaddix minn filtru, u tgħaddi jew ma tgħaddix hija l-mistoqsija kollha. Kull pass hawn taħt isemmi l-apparat u s-sett ta' regoli li jaġixxi hemm, hekk li filtru nieqes jidher bħala vojt minflok ma jiġi implikat b'linja.

1. Klijent remot: l-apparat tal-utent li joħloq it-tunnel.
2. Politika tat-tarf: is-sett ta' regoli li jaċċetta t-trasport ta' barra lejn is-semmiegħa pubblika.
3. Appliance li ttemm: il-punt aħħari tal-VPN li jiddekapsula u jgħaddi l-pakkett lill-IP ordinarju.
4. Filtru ta' ġewwa: is-sett ta' regoli tal-ippeġjar jew tal-gruppi tas-sigurtà li jillimita t-traffiku mill-klijent għas-servizz.
5. Host tal-applikazzjoni: is-servizz li jirċievi t-talba deċifrata.

Żewġ politiki, żewġ sidien

Il-politika ta' barra twieġeb min jista' jistabbilixxi tunnel, u hija espressa fir-regoli li jaċċettaw it-trasport lejn is-servizz li jtemm. Il-politika ta' ġewwa twieġeb liema servizz jista' jilħaq utent awtentikat, u tgħix fir-regoli tal-ippeġjar, fil-gruppi tas-sigurtà jew fl-applikazzjoni stess. Apparat wieħed jista' jospita t-tnejn, u disinn b'ħafna apparati xorta għandu t-tnejn. Huwa s-sejħa tagħhom b'mod separat li tippermettilek tgħid liema waħda falliet meta utent ma jilħaqx applikazzjoni.

Il-kontrolli tal-ammissjoni bħaċ-ċertifikati u l-awtentikazzjoni multifatturali jwieġbu għall-identità u għal xejn ieħor. Ma jiddeċidux it-tqegħid u ma jagħtux permess għal kull riżors wara li utent ikun ġewwa.

It-tqegħid jiddeċiedi liema fruntiera tgħaddi minnha t-talba

Tliet tqegħidiet huma komuni, u kull wieħed ibiddel liema fruntiera tgħaddi minnha t-talba deċifrata. Qabbelhom skont x'jintemm hemm, x'jista' jara test ċar, liema kontroll xorta jista' jirrifjuta t-talba, u x'jonqos flimkien mal-appliance. It-tabella hawn taħt tuża dawk l-erba' kolonni minflok mistoqsija ġenerali, għax kull tweġiba hija deċiżjoni tad-disinn separata.

It-tielet tqegħid huwa dak li jneħħi l-infurzar bil-kwiet, għax sieq fuq is-segment protett tagħti lill-appliance mogħdija diretta li d-dijagramma forsi ma turix. Spezzjona l-interfaces u r-rotot minflok l-istampa: ip route get 10.20.5.10 jirrapporta minn liema interface il-pakkett joħroġ, u t-tweġiba spiss mhijiex dik li assuma d-disinn. Ir-rwol klassiku tal-firewall li jikkontrolla t-traffiku bejn il-qagħdiet, kif deskritt fiNIST SP 800-41, huwa test utli hawn, għax apparat b'sieq bla restrizzjoni lejn in-netwerk protett ma jikkontrolla ħafna. Tfittxija tar-rotta hija dijagramma iktar onesta minn dik fil-preżentazzjoni.

L-amministrazzjoni tappartjeni għall-mogħdija tagħha stess espliċitament permessa. Li tħalli lill-utenti jilħqu applikazzjoni qatt ma teħtieġ li tħallihom jilħqu l-interface tal-kontroll tal-appliance, u ż-żewġ permessi għandhom jingħataw minn regoli differenti. Awtorizza ż-żewġ mogħdijiet separatament, għax regola kondiviża taħbi liema nfetħet.

It-traduzzjoni tbiddel x'jistgħu jaraw ir-regoli ta' isfel

It-traduzzjoni tas-sors hija konvenjenti u hija teqred l-informazzjoni. Wara l-masquerade kull klijent jidher bħall-appliance, għalhekk regola ta' isfel miktuba biex tiddistingwi l-utenti ma tistax tagħmel dan iktar. Din mhijiex biss problema tal-ġurnal, hija problema tal-politika: regola mqiegħda fuq l-indirizz tal-klijent issir bil-kwiet regola mqiegħda fuq il-gateway. Jekk il-politika għal kull utent hija importanti, ippreserva s-sors jew infurza l-politika qabel it-traduzzjoni.

Il-mogħdija tar-risposta tistħoqq l-istess skrutinju. Irreġistra liema rotta tagħżel id-destinazzjoni għall-pakkett tar-ritorn, għax ritorn asimmetriku jevita l-ispezzjoni bl-istat u jipproduċi konnessjoni li tistabbilixxi u mbagħad tieqaf. Iż-żewġ direzzjonijiet iridu jaqsmu l-fruntiera li pinġejt, inkella l-fruntiera hija dekorazzjoni.

sudo tcpdump -ni inside0 host 10.20.5.10
ip route get 10.20.5.10
sudo iptables -t nat -S POSTROUTING

Aċċetta operazzjoni permessa u waħda miċħuda

Ittestja mill-klijent remot veru u mhux minn host tal-amministrazzjoni, għax il-host tal-amministrazzjoni normalment joqgħod fejn l-utent qatt ma jkun. Operazzjoni permessa waħda turi li l-mogħdija taħdem, u waħda miċħuda turi li l-politika qed tagħmel xi ħaġa xejn xejn. Mexxi t-tnejn wara kull bidla fit-tqegħid, u rreġistra l-identità tas-sors u d-destinazzjoni li użajt. Test li juri biss suċċess ma jistax jiddistingwi regola korretta minn waħda nieqsa.

Imbagħad ittestja l-każijiet li jbiddlu l-istat: qagħda mill-ġdid, sessjoni li tgħix iktar minn rotazzjoni taċ-ċwievet, u falliment tal-appliance stess. Qabbel l-aġġornamenti, il-kapaċità u l-irkupru bħala parti mill-istess tqassim, għax appliance waħda li żżomm diversi kontrolli loġiċi hija dominju ta' falliment wieħed b'diversi tikketti. Lanqas it-tieni kaxxa mhija indipendenti meta kredenzjali amministrattivi kondiviżi jew rotta bla restrizzjoni jegħlbu l-fruntiera li kellha toħloq.

Iddokumenta l-punt aħħari, il-mogħdija deċifrata u l-kontroll li jillimita. Dawk it-tliet linji jibqgħu sinifikanti x'jissejjaħ l-implimentazzjoni.