Etter dekryptering: hvilken policy ser VPN-trafikken din først

En VPN-flyt kan være perfekt kryptert og perfekt autentisert og likevel havne et sted ingen hadde planlagt. Kabelen du setter i, avgjør ikke hvilken regel som behandler den indre pakken; det gjør policykroken og ruten. Derfor kan to design som ser like ut på en racktegning ha helt ulik håndhevelse. Valget mellom dem begynner med å navngi kontrollen som ser den dekrypterte flyten først.

Bestem etter policykroken, ikke porten du plugger i

Hver VPN-plattform vurderer dekryptert trafikk på et punkt før den sendes videre, og det punktet har et navn i konfigurasjonen. På én plattform er det et gruppepolicyfilter, på en annen en grensesnittpolicy eller et sonepar, og på en ruter kan det være bare forward-kjeden. Kroken håndhever regelen, mens svitsjporten bare er stedet der kabelen ender. Å finne kroken er den første beslutningen, siden alt annet er plassering i forhold til den.

Før du ser på maskinvare, skriv ned flyten: hvem kilden er, hvor den skal, hvilken protokoll som bærer den og hvilken tjeneste som er tillatt. Finn så kontrollen som håndhever hvert av de fire fakta.

To veier, to forskjellige historier om håndhevelse

To former er vanlige, og hver kan være riktig for ulike krav.

endpoint -> shared inside subnet -> server
endpoint -> dedicated transit -> policy firewall -> server subnet

Den første formen kan håndheve alt som trengs i gatewayen, forutsatt at gatewaypolicyen er skrevet for det målet og serveren ikke har en vei utenom. Den andre formen legger til en grense, men bare hvis rutene og policyen faktisk sender trafikken gjennom den. En server på samme segment som endepunktet følger kanskje aldri det tenkte mellomhoppet. Diagrammet viser hensikten, og rutetabellen viser hva som skjer.

Verifiser med et ruteoppslag og ikke med tegningen. Grensesnittet pakken forlater gjennom, og neste hopp den velger, avgjør om den andre formen virker som tenkt.

ip route get 10.30.7.20
sudo iptables -S FORWARD
sudo tcpdump -ni inside0 host 10.30.7.20

Skille topologi fra isolasjon

Å dele et subnett gjør ikke et sted utrygt, og en dedikert transitt gjør det ikke beskyttet. Det som avgjør, er begrensningen som faktisk brukes, videresendingen som faktisk skjer, og hvem som administrerer hver del. Å telle svitsjer sier ingenting om noen av de tre. Bestem ut fra policyen og ruten, og la topologien følge beslutningen.

Behandle trafikkpopulasjoner hver for seg også. Fjernaksesspooler, site-til-site-prefikser og nett med private linjer kan dele én enhet og likevel trenge ulike regler, fordi identiteten og risikoen deres er forskjellig. En regel skrevet for én populasjon dekker de andre stille når de deler en adresseplan.

Sjekk feil og administrasjon for hver plassering

Hver plassering har en feilmodus, og det nyttige spørsmålet er hva som fortsatt virker når en komponent stopper. Flere logiske grensesnitt på én død enhet gir ingen uavhengig gjenoppretting, og en brannmur lenger ned som deler samme strømforsyning eller samme administrator, er ikke en andre grense. Spør hvor administrasjonsveien går, fordi en konsoll som bare nås gjennom tunnelen, er ingen gjenopprettingsvei i det hele tatt; ssh [email protected] true utenfra tunnelen er den billigste måten å bevise at konsollen ikke avhenger av den. Dokumentasjonen for gruppepolicy på én plattform legger filteret på trafikk etter dekryptering og før kryptering, som er nettopp den slags navngitte krok en skal lete etter i ethvert produkt.

Skriv feilhistorien for hver kandidat ved siden av håndhevelseshistorien. En plassering som vinner på inspeksjon og taper på gjenoppretting, er en byttehandel, og den bør registreres som det i stedet for å oppdages under en hendelse.

Godta med en tillatt og en avvist flyt

Med en godkjent testplan, sjekk tre ting fra den ekte VPN-kilden: en applikasjon som skal virke, en ressurs som ikke skal, og retningen svaret kommer tilbake i. Avvisningen er beviset for at policyen er aktiv, mens den tillatte flyten bare beviser at en vei finnes.

Ta vare på den valgte ruten og policyresultatet sammen, fordi et resultat uten ruten ikke kan gjenskapes, og en rute uten resultatet ikke kan forsvares. Det paret er langt mer nyttig for å velge et tilkoblingspunkt enn noen påstand om hvilket svitsjelag som i seg selv er tryggere.