Agħti lill-utenti VPN aċċess għal servizz wieħed, mhux għas-subnet

Kuntrattur għandu bżonn applikazzjoni web interna waħda u xejn aktar, u t-tweġiba faċli hija li tagħtih mina fis-subnet tas-server. Dan jaħdem sa dak il-jum meta jiskannjaha. Id-disinn idjaq jeħtieġ aktar ħsieb, għax l-aċċessibbiltà, ir-rotta u l-permess tal-applikazzjoni huma tliet kontrolli separati li jridu jaqblu.

Ikteb il-ħtieġa bħala servizz, mhux bħala subnet

Ibda bil-host tad-destinazzjoni, il-protokoll u l-port, imbagħad żid il-grupp tal-utenti jew tal-apparati li għandu jasal għalih. Inkludi ż-żona DNS privata biss jekk l-applikazzjoni ssolvi isem, u inkludi fornitur tal-identità biss jekk il-fluss tad-dħul jeħtieġ wieħed. Kull ħaġa oħra hija dipendenza li għadek ma ġġustifikajtx.

Is-subnet huwa dettall ta' implimentazzjoni tat-tim tan-netwerk, filwaqt li servizz huwa dak li talab in-negozju u l-unità li tista' tiġi riveduta u rtirata.

Jekk il-lista tad-dipendenzi taqbeż tliet elementi, l-applikazzjoni probabbilment teħtieġ diskussjoni tad-disinn tagħha stess.

Agħmel rotot dejqa, imma infurza x'imkien ieħor

Rotta jew selettur dejqa tgħid lill-mina liema pakketti għandha ġġorr; din mhijiex politika ta' awtorizzazzjoni. Il-filtru tal-gateway, il-firewall tal-host tad-destinazzjoni u l-mudell tal-permessi tal-applikazzjoni nnifisha huma l-postijiet fejn jiġi deċiż l-aċċess. Rotta li tkopri indirizz wieħed hija bidu tajjeb, u mhijiex il-kontroll li jwaqqaf utent determinat. Din is-separazzjoni hija dik li tippermettilek tibdel il-filtru mingħajr ma terġa' tiddisinja l-mina.

Bil-kontra, rotta wiesgħa b'filtru strett tista' tkun leġittima, imma biss jekk kulħadd involut jaf liema waħda qed tagħmel l-infurzar.

Iddokumenta l-punt tal-infurzar b'mod espliċitu, inkella l-bidla li jmiss se ċċaqilqu b'aċċident.

Iċċekkja s-sors li s-servizz fil-fatt jara

Il-mira tara jew l-indirizz tal-pool tal-klijent jew l-indirizz tal-gateway, skont jekk tittraduċix. Ir-regoli tal-firewall tal-host u l-logs iridu jaqblu mas-sors reali. Jekk diversi utenti jaqsmu sors tradott, ebda regola għal kull utent fuq dak il-host ma tista' tiddistingwihom, u dan huwa restrizzjoni tad-disinn, mhux bug.

Agħżel it-traduzzjoni b'mod deliberat: tissimplifika r-rotta u teqred l-identità tas-sors, li hija importanti għall-awditjar u għar-regoli għal kull utent.

Ikteb liema waħda miż-żewġ għażilt, ħdejn ir-regola li tiddependi minnha.

L-awtorizzazzjoni tal-applikazzjoni mhijiex fakultattiva

Li tasal għal port ma tagħtix rwol. L-applikazzjoni xorta teħtieġ id-dħul u l-permessi tagħha stess, għax is-saff tan-netwerk ma jistax jesprimi liema rekords utent jista' jeditja. Servizz li jafda kull talba mis-subnet intern ibiddel mina dejqa f'aċċess sħiħ għal kredenzjal wieħed kompromess. Il-mina tiddeċiedi min jista' jiftaħ is-socket, u l-applikazzjoni tiddeċiedi x'jista' jsir bih.

Hawnhekk id-disinn dejjaq iħallas darbtejn, għax inqas hosts aċċessibbli jfisser inqas postijiet fejn żball fil-livell tal-applikazzjoni jista' jiġi sfruttat.

Żomm ir-regola tan-netwerk u r-rwol tal-applikazzjoni f'sistemi separati, u rtirahom separatament.

Ipprova kemm il-passaġġ permess kif ukoll dak miċħud

Qabbad bħala l-utent awtorizzat u agħmel operazzjoni rappreżentattiva waħda bla ħsara, imbagħad ipprova destinazzjoni li għandha tkun impossibbli tintlaħaq. Disinn li jittestja biss l-ewwel nofs mhuwiex ittestjat, u t-test miċħud huwa dak li jipprova d-disinn. Ittestja sessjoni ġdida wara kull bidla fir-regola, u ħares lejn il-passaġġ tar-ritorn jekk jaslu t-talbiet imma mhux it-tweġibiet.

Tiddiżattivax il-filtri tal-ġarr biex jgħaddi t-test tal-aċċettazzjoni, għax dan ibiddel il-ħaġa li qed tiġi ttestjata.

Meta l-utent ma jibqax jeħtieġ is-servizz, irtira l-identità remota u r-rwol tal-applikazzjoni fis-sistemi rispettivi tagħhom, u rreġistra t-tnejn. Il-gwida tal-ġarr ta' strongSwan tkopri n-naħa tal-gateway tal-passaġġ.