It-transitu kriptat ma jagħtix aċċess għat-trasportatur

Żewġ gateways approvati jġorru t-traffiku ta' netwerk b'inqas fiduċja minn netwerk tat-trasport ristrett. Il-kriptaġġ tal-payload iżommu mhux jinqara mill-osservaturi ordinarji tat-transitu, u dan huwa l-parti li n-nies jiddisinjaw l-ewwel u mbagħad ma jibqgħux jaħsbu dwarha. Dak li l-kriptaġġ ma jagħmilx huwa li jiddefinixxi liema riżorsi n-naħa b'inqas fiduċja tista' tilħaq. Id-disinn jeħtieġ żewġ konfini: wieħed madwar il-konverżazzjoni li tinġarr, u wieħed madwar l-aċċess għat-trasportatur innifsu.

Esegwi l-passi hawn taħt fl-ordni, u ittratta kull falliment f'kull pass bħala bidla fid-disinn, mhux aġġustament fil-konfigurazzjoni.

Iddefinixxi ż-żewġ konfini qabel ma tmiss konfigurazzjoni

L-ewwel konfini hija l-konverżazzjoni: liema pari ta' gateways jistgħu jwaqqfu tunnel, u liema traffiku intern jitħalla jgħaddi minnu. It-tieni huwa t-trasportatur: liema indirizzi u servizzi l-hosts b'inqas fiduċja jistgħu jilħqu barra mit-tunnel. It-timijiet normalment jibnu l-ewwel wieħed u jirtu t-tieni minn kull routing li diġà kien jeżisti, u hekk disinn ristrett bil-mod isir wieħed wiesgħa. Dik il-wirt hija l-kawża ewlenija tas-soltu meta reviżjoni ssib host b'inqas fiduċja jitkellem ma' xi ħaġa li ħadd ma approva.

Ikteb it-tnejn bħala listi ta' indirizzi, ports u direzzjonijiet. Jekk lista ma tistax tinkiteb, il-konfini għadu mhux definit.

Pass 1: illimita t-tunnel ta' barra

Fuq l-interface li tħares lejn it-trasportatur, ippermetti biss dak li t-tunnel jeħtieġ: IKE fuq UDP 500 u 4500 bejn iż-żewġ indirizzi tal-gateway, u ESP fejn it-traversata NAT mhijiex użata. Irrifjuta kull ħaġa oħra li tasal fuq dak l-interface, inklużi l-protokolli tal-ġestjoni. l-ispeċifikazzjoni ESP tkopri s-servizzi tal-protezzjoni; ma tgħid xejn dwar liema servizzi proprji tat-trasportatur il-gateways jistgħu jużaw. Esprimiha bħala lista ta' permessi espliċita, sabiex servizz tat-trasportatur li għadu kif ġie ppubblikat ma jsirx aċċessibbli b'mod awtomatiku.

Dan huwa s-sett ta' regoli li jagħmel id-disinn disinn tat-transitu u mhux arranġament ta' peering.

Ivverifika min-naħa b'inqas fiduċja, mhux mill-console tal-gateway. Host hemmhekk għandu jonqos milli jilħaq server DNS tat-trasportatur anki qabel ma jitla' t-tunnel.

Pass 2: iddeċiedi x'jagħti l-gateway imbiegħed

Fit-tarf imbiegħed, it-traffiku rkuprat irid imur f'post speċifiku. Iddefinixxi liema servizzi interni huma permessi, minn liema firxiet ta' sors, u jekk huwiex mistenni li t-tweġibiet ikunu simetriċi. Irrevedi l-aċċess amministrattiv separatament, għax l-istess gateway spiss jesponi interface amministrattiva li qatt ma kienet parti mill-pjan tat-transitu.

Dijagramma li tieqaf fid-dekriptaġġ b'suċċess tkun qabżet id-deċiżjoni li timporta l-aktar.

Pass 3: żomm is-sjieda għal kull saff

It-tagħmir tat-transitu xorta jirċievi u jgħaddi pakketti ta' barra, għalhekk jeħtieġ patches u ppjanar tal-kapaċità. Il-punti tat-tarf tat-tunnel jipproċessaw il-protokoll protett u jesponu traffiku intern għall-passaġġ tat-trasferiment tagħhom, għalhekk jeħtieġu regoli tagħhom u monitoraġġ tagħhom. L-applikazzjonijiet finali jipproċessaw il-payload, u payload opak mhuwiex prova li download dekriptat huwa bla ħsara.

Assenja sid għal kull saff. Is-saffi mingħajr sid huma dawk li jidderivaw.

Pass 4: ivverifika, imbagħad għaddih lill-awtorità

Ivverifika l-passaġġ ta' barra bit-tunnel imtella' u r-regoli tat-trasportatur fis-seħħ. Imbagħad ipprova kull riżors li n-naħa b'inqas fiduċja m'għandhiex tilħaq u kkonferma li l-falliment huwa ċaħda u mhux timeout li jaħbi rotta. Ivverifika wkoll id-disponibbiltà u l-limiti tar-riżorsi, għax konnessjoni kriptata tista' tiġi saturata xorta.

Għal ambjenti regolati jew klassifikati, ħu d-disinn lill-awtorità tas-sigurtà responsabbli u uża l-arkitettura ta' separazzjoni approvata tagħha. Konfigurazzjoni VPN u spjegazzjoni kunċettwali ma jistabbilixxux akkreditazzjoni. Dak il-pass mhuwiex karti; jiddeċiedi jekk id-disinn huwiex permess jeżisti xejn.