Aċċess minn VPN għal VLAN: ibni l-matriċi qabel ir-regoli
Ir-rwoli fuq naħa, is-servizzi fuq l-oħra. Ħames verifiki jibdlu disinn vag ta' aċċess minn VPN għal VLAN fi tabella li s-sid tal-firewall jista' jimplimenta.
Ibda mill-matriċi, mhux mis-sintassi tal-firewall. Tabella bir-rwoli fuq naħa u s-servizzi fuq l-oħra tista' tiġi riveduta minn sid ta' applikazzjoni, diskussa minn sid tas-sigurtà u implimentata minn min iżomm il-gateway. Dik ir-reviżjoni tiswa inqas milli jiġu debugjati regoli li ħadd ma qabel dwarhom.
Siegħa ta' kitba tiffranka aktar tard ġimgħa ta' arkeoloġija tar-regoli. Id-disinn jitkellem dwar min jasal għal liema servizz, u dik hija l-parti li tgħaddi minn numrar mill-ġdid.
Pass 1: semmi r-rwoli qabel in-netwerks
Ibda min-nies, mhux mill-iswiċċ. Ikteb kull grupp li jgħaqqad mill-bogħod u l-unika sentenza li tiddeskrivi x'jagħmel dak il-grupp, bħal ħaddiema tal-imħażen li jaqraw il-livelli tal-istokk jew kuntrattur li jżomm integrazzjoni waħda. Jekk żewġ gruppi jirċievu l-istess aċċess, huma rwol wieħed għal dan il-għan.
Ieqaf hawn jekk rwol jeżisti biss minħabba organigramma. Rwol mingħajr bżonn ta' servizz tiegħu stess isir ringiela ta' ċelloli identiċi, u ringieli identiċi jħajru lil xi ħadd aktar tard jagħti subnet sħiħ għall-konvenjenza. Aqsam skont dak li jagħmlu n-nies, mhux skont min jiffirma l-ispejjeż tagħhom. Sitt rwoli normalment huma wisq għal uffiċċju żgħir u tlieta spiss huma tajbin.
Pass 2: ibdel kull ċellola fi stqarrija ta' servizz
Ċellola li tgħid «Applikazzjonijiet» mhijiex verifikabbli. Ċellola li tgħid «HTTPS lejn l-host tal-ERP fuq 443, mill-pool tal-persunal» hija verifikabbli. Issostitwixxi kull isem tan-netwerk b'destinazzjoni, protokoll u port, imbagħad żid id-dipendenza li mingħajrha s-servizz ma jaħdimx, bħar-resolver intern jew il-fornitur tal-identità.
| Check | Passes when | Stop if |
|---|---|---|
| Destination named | Host and port appear in the cell | Cell names a VLAN or a subnet |
| Direction stated | Initiator and responder are both clear | Cell implies two-way access |
| Dependency listed | DNS or identity path is explicit | Whole infrastructure range is granted |
| Negative case written | At least one denied pair is recorded | Only allow rules exist |
Il-kolonna tad-direzzjoni taqbad l-aktar żbalji għaljin. Il-permess għall-persunal biex jiftaħ applikazzjoni ma jimplikax permess għas-servers tal-applikazzjoni biex jiftħu konnessjonijiet lura lejn il-laptops tal-persunal, u regola b'stat li tippermetti l-ewwel direzzjoni spiss tinqara bħallikieku tippermetti t-tieni.
Pass 3: iddeċiedi fejn l-identità ssir politika
Xi ħadd irid jbiddel sessjoni awtentikata f'rwol li l-gateway jista' jinfurza. L-għażliet appoġġjati jinkludu politika tal-grupp fornuta mill-backend tal-awtentikazzjoni, attributi tas-sessjoni affidabbli, jew pools ta' indirizzi separati għal kull rwol. It-tlieta jaħdmu; tikketta mibgħuta mill-klijent ma taħdimx. Agħżel il-mekkaniżmu li d-dokumentazzjoni tal-gateway tiegħek tiddeskrivi, mhux dak li jiddeskrivi post f'forum.
L-għoti ta' indirizz li sempliċement jidher li jappartjeni lil VLAN hija l-istess tweġiba nieqsa fi kostum ieħor. Il-gwida Netgate dwar ir-regoli tal-firewall tal-OpenVPN tagħmel is-separazzjoni ċara: li tħalli t-tunnel jitla' hija deċiżjoni differenti milli tħalli t-traffiku jgħaddi minnu.
Ikteb liema mekkaniżmu għażilt u fejn huwa kkonfigurat. Meta jinbidel rwol, dik in-nota hija d-differenza bejn editjar wieħed u tfittxija fi tliet interfaces. Tgħid ukoll lil awditur fejn għandu jħares l-ewwel.
Pass 4: osserva l-indirizz tas-sors li jara d-destinazzjoni
Il-politika tal-ġarr 'il quddiem trid taqbel mas-sors reali fil-fruntiera. Jekk il-gateway jittraduċi l-klijenti VPN fl-indirizz tiegħu stess, kull firewall aktar 'l isfel jara sors wieħed u jitlef il-kapaċità li jiddeċiedi skont ir-rwol. Jekk iżomm l-indirizz tal-klijent, it-triq lura trid teżisti għal dak il-pool.
Ittestja ż-żewġ direzzjonijiet qabel tikteb ir-regoli finali, imbagħad iddokumenta s-sors osservat ħdejn kull ċellola. Mexxi l-istess verifika minn żewġ rwoli differenti u qabbel ir-riżultat. Jekk it-tnejn juru l-indirizz tal-gateway, id-distinzjoni bejn ir-rwoli diġà ntilfet. Matriċi li tassumi indirizzi miżmuma waqt li l-gateway jagħmel traduzzjoni tas-sors tfalli fl-ewwel ACL aktar 'l isfel.
Pass 5: ittestja kull ċellola qabel ma toħroġha
Ibdel kull ċellola permessa f'operazzjoni rappreżentattiva waħda u kull ċellola rrifjutata f'każ negattiv. Mexxi t-tnejn minn klijent fir-rwol reali, mhux mill-console tal-gateway, għax il-console tevita t-triq li qed tittestja.
# allowed: staff role reaches the ERP endpoint
curl -sS -o /dev/null -w '%{http_code}\n' --max-time 5 https://erp.internal.example/health
# denied: the same role must not reach a management host
nc -vz -w 3 10.30.5.11 22
# observed source address at the destination
sudo tcpdump -ni any 'tcp port 443 and host 10.30.20.15'Każ negattiv li jgħaqqad huwa sejba, mhux kumbinazzjoni, u postu fil-matriċi bħala ċellola li falliet sakemm tiġi ssistemata r-regola. Żomm il-kmandi tat-test ħdejn it-tabella sabiex ir-reviżur li jmiss jerġa' jmexxihom minflok ma jerġa' jibni r-raġunament.
It-tabella lesta tgħix aktar mill-gateway li għalih inkiteb. Ir-regoli jinbidlu mal-firmware u mal-fornitur, filwaqt li r-ringiela li tgħid li kuntrattur jasal għal servizz wieħed ta' proġett tibqa' vera sakemm jinbidel dak ix-xogħol.