Kif tillimita l-aċċess bejn żewġ uffiċċji konnessi bil-VPN
Tunnel minn sit għal sit mhuwiex fiduċja reċiproka. Ibni matriċi ta’ sors, destinazzjoni u servizz, infurzaha fuq traffiku deċifrat, u wri wkoll ċaħda.
Tunnel minn sit għal sit iwieġeb mistoqsija waħda, jekk iż-żewġ uffiċċji jistgħux jiskambjaw pakketti, u jħalli l-importanti miftuħa: liema apparat tal-fergħa jista’ jilħaq liema servizz ċentrali. Li tittratta t-tunnel bħala fiduċja reċiproka huwa l-mod kif laptop tal-mistieden jispiċċa fl-istess triq tas-server finanzjarju. Is-soluzzjoni mhix tunnel aħjar, iżda lista ta’ permessi espliċita li tiġi infurzata wara d-deċifrar. Dan il-gwida jwassal dik il-lista mid-definizzjoni għal ċaħda ppruvata.
Aħdem b’dan l-ordni, u tespandix ir-rotta tat-tunnel sakemm il-passi tal-politika hawn taħt jgħaddu.
Ikteb il-matriċi qabel ma tmiss il-gateway
Ringiela utli ssemmi tliet affarijiet: grupp tas-sors, host jew netwerk tas-servizz tad-destinazzjoni, u l-protokoll u l-port li l-applikazzjoni fil-fatt tuża. Il-fergħa u ċ-ċentru tad-data mhumiex entrati. DNS privat u servizzi ta’ awtentikazzjoni jaqilgħu ringieli tagħhom biss meta l-applikazzjoni ma tistax taħdem mingħajrhom.
Iġbor is-sorsi skont ir-rwol u mhux skont il-kumdità tas-subnet: persunal, mistednin, amministrazzjoni. Meta t-tlieta jaqsmu LAN wieħed ċatt, il-gateway ma jistax jiddistingwihom fil-livell tan-netwerk, għalhekk il-kontrolli tal-identità jew is-segmentazzjoni għandhom jiġu l-ewwel. Imbagħad poġġi l-matriċi bil-miktub b’sid u data ta’ reviżjoni fuq kull ringiela.
| Sors | Destinazzjoni | Servizz | Deċiżjoni |
|---|---|---|---|
| persunal tal-fergħa | app tal-booking 10.10.5.10 | TCP 443 | ippermetti fuq il-gateway li jiddeċifra |
| persunal tal-fergħa | VLAN tal-amministrazzjoni tas-servers | xi ħaġa | ċaħda impliċita |
| Wi-Fi għall-mistednin | kwalunkwe firxa ċentrali | xi ħaġa | iċħad qabel it-tunnel |
| host tal-qbiż amministrattiv | VLAN tas-servers | TCP 22 u 3389 | ippermetti b’MFA, il-firewall tal-host iddejjaq aktar |
Infurzaha fejn il-pakketti jiġu deċifrati
Ir-regoli li jippermettu IKE u ESP jibnu biss it-tunnel ta’ barra. It-traffiku intern jasal fil-miftuħ fuq l-interface tat-tunnel, u hemmhekk tinsab il-lista tal-permessi: katina ta’ forwarding fuq l-apparat li jiddeċifra, drop awtomatiku, regola waħda għal kull ringiela tal-matriċi. Fuq gateways Linux dan ifisser forwarding attivat u regoli ta’ filtrazzjoni fuq l-apparat tat-tunnel, mhux fuq il-link fiżiku, kif jispjega il-gwida tal-forwarding ta’ strongSwan.
Il-seletturi tat-traffiku huma deċiżjoni ta’ routing, mhux ta’ awtorizzazzjoni. Selettur wiesa’ li jkopri ż-żewġ subnets jista’ jkun tajjeb għar-routing filwaqt li l-firewall għadu jippermetti biss TCP 443 lejn host wieħed. Is-selettur jiġi nnegozjat għat-tunnel u jiddeskrivi x’jista’ jidħol fih, mhux x’jista’ juża apparat partikolari. Qatt tespandix regola tal-firewall għax is-selettur huwa wiesa’.
iptables -A FORWARD -i tun0 -s 10.20.0.0/24 -d 10.10.5.10 -p tcp --dport 443 -j ACCEPT
iptables -A FORWARD -i tun0 -j DROPNAT u subnets li jaqsmu xulxin ibiddlu r-regoli
Meta l-gateway tal-fergħa jittraduċi kull host għal indirizz wieħed qabel it-tunnel, kull ringiela bbażata fuq is-sors tiġġarraf f’dak l-indirizz wieħed. Jew waqqaf it-traduzzjoni tat-traffiku tat-tunnel, jew aċċetta li r-regoli jridu jiddependu fuq xi ħaġa oħra, bħall-indirizz tas-sors oriġinali rreġistrat qabel it-traduzzjoni. It-tarf imbiegħed għandu l-istess problema, għax il-host tad-destinazzjoni jara l-indirizz wara NAT u mhux dak oriġinali.
Firxiet li jaqsmu xulxin huma n-nassa l-oħra. Żewġ uffiċċji li t-tnejn jużaw 192.168.1.0/24 ma jistgħux jiġu deskritti f’tabella tal-politika waħda mingħajr ma tiġi mappjata naħa, u mappjar mhuwiex sostitut għal indirizzar li ma jaħbatx. Sejjaħ il-pjan qabel ma tikteb regoli li jkollok tħoll aktar tard.
Ipprova ċaħda, mhux biss suċċess
L-ittestjar tal-applikazzjoni permessa biss jipprova ftit ħafna, għax regola permissiva xi mkien ’il fuq tagħti l-istess riżultat.
Minn apparat ordinarju tal-fergħa, ilħaq is-servizz maħsub u kkonferma li s-sessjoni kollha taħdem. Imbagħad ipprova destinazzjoni li trid tibqa’ magħluqa, bħal port amministrattiv fuq server li l-fergħa m’għandha x’taqsam miegħu, u aqra l-counter jew id-dħul fil-log li warrbitha. Li tiddiżattiva s-sett tar-regoli biex tara jekk jaħdimx jinvalla t-test u jħalli l-gateway miftuħ waqt li tħares.
Żomm il-lista ħajja
L-applikazzjonijiet jiċċaqalqu, u regola li tħaddan iktar mill-applikazzjoni tagħha ssir toqba li ħadd ma jippossjediha. Waħħal id-data ta’ reviżjoni mar-ringiela, u biddel l-ambitu tas-selettur u r-regola tal-firewall fl-istess pass ta’ manutenzjoni meta servizz ibiddel l-indirizz.
Ir-restrizzjonijiet fil-livell tal-host għadhom importanti wara t-tunnel: il-firewall tas-server stess għandu jaċċetta l-firxa tal-fergħa biss għas-servizz li jippubblika. Żewġ saffi li jaqblu huma iktar faċli biex jiġu awditjati minn saff wieħed li jkun afdat għal kollox.