Etter dekryptering: hvilken policy ser VPN-trafikken din først

En VPN-flyt kan være perfekt kryptert og perfekt autentisert og likevel ende et sted ingen hadde planlagt. Kabelen du setter i, avgjør ikke hvilken regel som behandler den indre pakken; det gjør policy-kroken og ruten. Derfor kan to design som ser like ut på et rackdiagram ha helt forskjellig håndheving. Valget mellom dem begynner med å navngi kontrollen som ser den dekrypterte flyten først.

Bestem etter policy-kroken, ikke porten

Hver VPN-plattform vurderer dekryptert trafikk på et tidspunkt før den videresendes, og det punktet har et navn i konfigurasjonen. På én plattform er det et gruppepolicyfilter, på en annen en grensesnittpolicy eller et sonepar, og på en ruter kan det være bare forward-kjeden. Kroken håndhever regelen, mens svitsjporten bare er stedet der kabelen ender. Å finne kroken er den første beslutningen, fordi alt annet er plassering i forhold til den.

Før du ser på maskinvare, skriv ned flyten: hvem kilden er, hvor den skal, hvilken protokoll som bærer den, og hvilken tjeneste som er tillatt. Finn så kontrollen som håndhever hver av de fire fakta.

To veier, to ulike historier om håndheving

To former er vanlige, og hver kan være riktig for ulike krav.

endpoint -> shared inside subnet -> server
endpoint -> dedicated transit -> policy firewall -> server subnet

Den første formen kan håndheve alt nødvendig i gatewayen, forutsatt at gatewaypolicyen er skrevet for det målet og serveren ikke har en vei utenom. Den andre formen legger til en grense, men bare hvis rutene og policyen faktisk får trafikken gjennom den. En server på samme segment som endepunktet følger kanskje aldri det tenkte mellomhoppet. Diagrammet viser intensjonen, og rutetabellen viser hva som skjer.

Verifiser med et ruteoppslag i stedet for med tegningen. Grensesnittet en pakke forlater gjennom, og neste hopp den velger, avgjør om den andre formen oppfører seg som designet.

ip route get 10.30.7.20
sudo iptables -S FORWARD
sudo tcpdump -ni inside0 host 10.30.7.20

Skil topologi fra isolasjon

Å dele et subnett gjør ikke et sted utrygt, og en dedikert transitt gjør det ikke beskyttet. Det som avgjør, er begrensningen som faktisk anvendes, videresendingen som faktisk skjer, og hvem som administrerer hver del. Å telle svitsjer sier ingenting om noen av de tre. Bestem ut fra policyen og ruten, og la topologien følge beslutningen.

Behandle trafikkpopulasjoner hver for seg også. Fjernaksesspooler, site-til-site-prefikser og private linjenett kan dele én enhet og likevel kreve ulike regler, fordi identiteten og risikoen deres er forskjellig. En regel skrevet for én populasjon dekker de andre stille når de deler en adresseplan.

Sjekk feil og administrasjon for hver plassering

Hver plassering har en feilmodus, og det nyttige spørsmålet er hva som fortsatt virker når en komponent stopper. Flere logiske grensesnitt på én død enhet gir ingen uavhengig gjenoppretting, og en nedstrøms brannmur som deler samme strømforsyning eller samme administrator, er ikke en andre grense. Spør hvor administrasjonsveien går, fordi en konsoll som bare nås via tunnelen, er ingen gjenopprettingsvei i det hele tatt; ssh [email protected] true utenfra tunnelen er den billigste måten å bevise at konsollen ikke avhenger av den. Dokumentasjonen for gruppepolicy på én plattform legger filteret sitt på trafikk etter dekryptering og før kryptering, som er nettopp den typen navngitt krok man skal lete etter i ethvert produkt.

Skriv feilhistorien for hver kandidat ved siden av håndhevingshistorien. En plassering som vinner på inspeksjon og taper på gjenoppretting, er en byttehandel, og den bør registreres som det i stedet for å oppdages under en hendelse.

Godta med en tillatt og en avvist flyt

Med en godkjent testplan, sjekk tre ting fra den ekte VPN-kilden: en applikasjon som skal virke, en ressurs som ikke skal, og retningen svaret kommer tilbake på. Avvisningen er beviset på at policyen er aktiv, mens den tillatte flyten bare beviser at en vei finnes.

Bevar den valgte ruten og policyresultatet sammen, fordi et resultat uten ruten ikke kan gjenskapes, og en rute uten resultatet ikke kan forsvares. Det paret er langt mer nyttig for å velge et tilkoblingspunkt enn noen påstand om hvilket svitsjelag som i seg selv er sikrere.