Etter dekryptering: kva for politikk ser VPN-trafikken din først

Ein VPN-flyt kan vere perfekt kryptert og perfekt autentisert og likevel enda på ein stad ingen hadde planlagt. Kabelen du set i, avgjer ikkje kva regel som handsamar den indre pakken; det gjer politikklækja og ruta. Difor kan to design som ser like ut på ei rackteikning ha heilt ulik handheving. Valet mellom dei byrjar med å namngje kontrollen som ser den dekrypterte flyten først.

Avgjer etter politikklækja, ikkje porten

Kvar VPN-plattform vurderer dekryptert trafikk på eit punkt før ho sender han vidare, og det punktet har eit namn i konfigurasjonen. På éin plattform er det eit gruppepolitikkfilter, på ein annan ein grensesnittpolitikk eller eit sonepar, og på ein ruter kan det vere berre forward-kjeda. Lækja handhevar regelen, medan svitsjporten berre er staden der kabelen endar. Å finne lækja er den første avgjerda, sidan alt anna er plassering i høve til ho.

Før du ser på maskinvare, skriv ned flyten: kven kjelda er, kvar han skal, kva protokoll som ber han og kva teneste som er tillaten. Finn så kontrollen som handhevar kvart av dei fire fakta.

To vegan, to ulike historier om handheving

To former er vanlege, og kvar kan vere rett for ulike krav.

endpoint -> shared inside subnet -> server
endpoint -> dedicated transit -> policy firewall -> server subnet

Den første forma kan handheve alt som trengst i gatewayen, føresett at gatewaypolitikken er skriven for det målet og tenaren ikkje har ein veg utanom. Den andre forma legg til ei grense, men berre om rutene og politikken faktisk sender trafikken gjennom ho. Ein tenar på same segment som endepunktet følgjer kanskje aldri det tenkte mellomhoppet. Diagrammet viser hensikta, og rutetabellen viser kva som skjer.

Stadfest med eit ruteoppslag og ikkje med teikninga. Grensesnittet pakken går ut gjennom, og neste hopp han vel, avgjer om den andre forma verkar som tenkt.

ip route get 10.30.7.20
sudo iptables -S FORWARD
sudo tcpdump -ni inside0 host 10.30.7.20

Skil topologi frå isolasjon

Å dele eit subnett gjer ikkje ein stad utrygg, og ein dedikert transitt gjer han ikkje verna. Det som avgjer, er avgrensinga som faktisk vert nytta, videresendinga som faktisk skjer, og kven som administrerer kvar del. Å telje svitsjar seier ingenting om nokon av dei tre. Avgjer ut frå politikken og ruta, og lat topologien følgje avgjerda.

Handsama trafikkpopulasjonar kvar for seg òg. Fjernåtkomstrørar, prefiks frå stad til stad og nett med private linjer kan dele éi eining og likevel trenge ulike reglar, fordi identiteten og risikoen deira er ulik. Ein regel skriven for éin populasjon dekkjer dei andre stille når dei deler ein adresseplan.

Sjekk feil og administrasjon for kvar plassering

Kvar plassering har ein feilmodus, og det nyttige spørsmålet er kva som framleis verkar når ein komponent stoppar. Fleire logiske grensesnitt på éi død eining gir inga sjølvstendig attoppretting, og ein brannmur lenger nede som deler same straumforsyning eller same administrator, er ikkje ei andre grense. Spør kvar administrasjonsvegen går, fordi ein konsoll som berre er tilgjengeleg gjennom tunnelen, er inga attopprettingsveg i det heile; ssh [email protected] true utanfrå tunnelen er den billegaste måten å prove at konsollen ikkje er avhengig av han. Dokumentasjonen for gruppepolitikk på éin plattform legg filteret på trafikk etter dekryptering og før kryptering, som er nettopp den slags namngjevne lækje ein skal leite etter i eitkvart produkt.

Skriv feilhistoria for kvar kandidat ved sida av handhevingshistoria. Ei plassering som vinn på inspeksjon og tapar på attoppretting, er ein byttehandel, og ho bør registrerast som det i staden for å oppdagast under ei hending.

Godta med ein tillaten og ein avvist flyt

Med ein godkjend testplan, sjekk tre ting frå den ekte VPN-kjelda: ein applikasjon som skal verke, ein ressurs som ikkje skal, og retninga svaret kjem tilbake i. Avvisinga er provet for at politikken er aktiv, medan den tillatne flyten berre provar at ein veg finst.

Tak vare på den valde ruta og politikkresultatet saman, fordi eit resultat utan ruta ikkje kan attskapast, og ei rute utan resultatet ikkje kan forsvarast. Det paret er langt nyttigare for å velje eit tilknytingspunkt enn noko påstand om kva svitsjelag som i seg sjølv er tryggare.