VPN ਤੋਂ VLAN ਤੱਕ ਪਹੁੰਚ: ਨਿਯਮਾਂ ਤੋਂ ਪਹਿਲਾਂ ਮੈਟ੍ਰਿਕਸ ਬਣਾਓ
ਇੱਕ ਪਾਸੇ ਭੂਮਿਕਾਵਾਂ, ਦੂਜੇ ਪਾਸੇ ਸੇਵਾਵਾਂ। ਪੰਜ ਜਾਂਚਾਂ ਇੱਕ ਅਸਪਸ਼ਟ VPN-ਤੋਂ-VLAN ਪਹੁੰਚ ਡਿਜ਼ਾਈਨ ਨੂੰ ਅਜਿਹੀ ਸਾਰਣੀ ਵਿੱਚ ਬਦਲ ਦਿੰਦੀਆਂ ਹਨ ਜੋ ਫਾਇਰਵਾਲ ਮਾਲਕ ਲਾਗੂ ਕਰ ਸਕਦਾ ਹੈ।
ਫਾਇਰਵਾਲ ਸਿੰਟੈਕਸ ਨਾਲ ਨਹੀਂ, ਮੈਟ੍ਰਿਕਸ ਨਾਲ ਸ਼ੁਰੂ ਕਰੋ। ਜਿਸ ਸਾਰਣੀ ਵਿੱਚ ਇੱਕ ਪਾਸੇ ਭੂਮਿਕਾਵਾਂ ਅਤੇ ਦੂਜੇ ਪਾਸੇ ਸੇਵਾਵਾਂ ਹੋਣ, ਉਸ ਦੀ ਸਮੀਖਿਆ ਐਪਲੀਕੇਸ਼ਨ ਮਾਲਕ ਕਰ ਸਕਦਾ ਹੈ, ਸੁਰੱਖਿਆ ਮਾਲਕ ਉਸ ਉੱਤੇ ਬਹਿਸ ਕਰ ਸਕਦਾ ਹੈ ਅਤੇ ਗੇਟਵੇ ਜਿਸ ਕੋਲ ਹੈ ਉਹ ਲਾਗੂ ਕਰ ਸਕਦਾ ਹੈ। ਜਿਨ੍ਹਾਂ ਨਿਯਮਾਂ ਉੱਤੇ ਕਦੇ ਕੋਈ ਸਹਿਮਤ ਨਹੀਂ ਹੋਇਆ, ਉਨ੍ਹਾਂ ਨੂੰ ਡੀਬੱਗ ਕਰਨ ਨਾਲੋਂ ਉਹ ਸਮੀਖਿਆ ਸਸਤੀ ਹੈ।
ਇਸ ਨੂੰ ਲਿਖਣ ਦਾ ਇੱਕ ਘੰਟਾ ਬਾਅਦ ਵਿੱਚ ਇੱਕ ਹਫ਼ਤੇ ਦੀ ਨਿਯਮ-ਪੁਰਾਤੱਤਵ ਬਚਾਉਂਦਾ ਹੈ। ਡਿਜ਼ਾਈਨ ਦੱਸਦਾ ਹੈ ਕਿ ਕੌਣ ਕਿਹੜੀ ਸੇਵਾ ਤੱਕ ਪਹੁੰਚਦਾ ਹੈ, ਅਤੇ ਮੁੜ-ਨੰਬਰੀ ਤੋਂ ਬਾਅਦ ਬਚਣ ਵਾਲਾ ਹਿੱਸਾ ਉਹੀ ਹੈ।
ਕਦਮ 1: ਨੈੱਟਵਰਕਾਂ ਤੋਂ ਪਹਿਲਾਂ ਭੂਮਿਕਾਵਾਂ ਦੇ ਨਾਮ ਰੱਖੋ
ਸਵਿੱਚ ਨਾਲ ਨਹੀਂ, ਲੋਕਾਂ ਨਾਲ ਸ਼ੁਰੂ ਕਰੋ। ਦੂਰੋਂ ਜੁੜਨ ਵਾਲੇ ਹਰ ਸਮੂਹ ਨੂੰ ਅਤੇ ਉਹ ਸਮੂਹ ਕੀ ਕਰਦਾ ਹੈ ਦੱਸਣ ਵਾਲਾ ਇੱਕ ਵਾਕ ਲਿਖੋ, ਜਿਵੇਂ ਸਟਾਕ ਪੱਧਰ ਪੜ੍ਹਨ ਵਾਲੇ ਗੋਦਾਮ ਕਰਮਚਾਰੀ ਜਾਂ ਇੱਕ ਏਕੀਕਰਨ ਸੰਭਾਲਣ ਵਾਲਾ ਠੇਕੇਦਾਰ। ਜੇ ਦੋ ਸਮੂਹਾਂ ਨੂੰ ਇੱਕੋ ਪਹੁੰਚ ਮਿਲੇ, ਤਾਂ ਇਸ ਮਕਸਦ ਲਈ ਉਹ ਇੱਕ ਭੂਮਿਕਾ ਹਨ।
ਜੇ ਭੂਮਿਕਾ ਸਿਰਫ਼ ਸੰਗਠਨਾਤਮਕ ਚਾਰਟ ਕਰਕੇ ਹੈ ਤਾਂ ਇੱਥੇ ਰੁਕੋ। ਜਿਸ ਭੂਮਿਕਾ ਦੀ ਆਪਣੀ ਵੱਖਰੀ ਸੇਵਾ-ਲੋੜ ਨਹੀਂ, ਉਹ ਇੱਕੋ ਜਿਹੇ ਖਾਨਿਆਂ ਦੀ ਕਤਾਰ ਬਣ ਜਾਂਦੀ ਹੈ, ਅਤੇ ਇੱਕੋ ਜਿਹੀਆਂ ਕਤਾਰਾਂ ਕਿਸੇ ਨੂੰ ਬਾਅਦ ਵਿੱਚ ਸੁਵਿਧਾ ਲਈ ਪੂਰਾ ਸਬਨੈੱਟ ਦੇਣ ਲਈ ਉਕਸਾਉਂਦੀਆਂ ਹਨ। ਲੋਕ ਕੀ ਕਰਦੇ ਹਨ ਦੇ ਆਧਾਰ 'ਤੇ ਵੰਡੋ, ਉਨ੍ਹਾਂ ਦੇ ਖਰਚੇ 'ਤੇ ਕੌਣ ਦਸਤਖ਼ਤ ਕਰਦਾ ਹੈ ਦੇ ਆਧਾਰ 'ਤੇ ਨਹੀਂ। ਛੋਟੇ ਦਫ਼ਤਰ ਲਈ ਛੇ ਭੂਮਿਕਾਵਾਂ ਆਮ ਤੌਰ 'ਤੇ ਬਹੁਤ ਹੁੰਦੀਆਂ ਹਨ ਅਤੇ ਤਿੰਨ ਅਕਸਰ ਸਹੀ ਹੁੰਦੀਆਂ ਹਨ।
ਕਦਮ 2: ਹਰ ਖਾਨੇ ਨੂੰ ਸੇਵਾ-ਕਥਨ ਵਿੱਚ ਬਦਲੋ
«ਐਪਲੀਕੇਸ਼ਨ» ਲਿਖਿਆ ਖਾਨਾ ਜਾਂਚਣਯੋਗ ਨਹੀਂ ਹੈ। «ਸਟਾਫ਼ ਪੂਲ ਤੋਂ 443 'ਤੇ ERP ਹੋਸਟ ਨੂੰ HTTPS» ਲਿਖਿਆ ਖਾਨਾ ਜਾਂਚਣਯੋਗ ਹੈ। ਹਰ ਨੈੱਟਵਰਕ ਨਾਮ ਨੂੰ ਮੰਜ਼ਿਲ, ਪ੍ਰੋਟੋਕੋਲ ਅਤੇ ਪੋਰਟ ਨਾਲ ਬਦਲੋ, ਫਿਰ ਉਹ ਨਿਰਭਰਤਾ ਜੋੜੋ ਜਿਸ ਤੋਂ ਬਿਨਾਂ ਸੇਵਾ ਨਹੀਂ ਚੱਲਦੀ, ਜਿਵੇਂ ਅੰਦਰੂਨੀ ਰਿਜ਼ੋਲਵਰ ਜਾਂ ਪਛਾਣ ਪ੍ਰਦਾਤਾ।
| Check | Passes when | Stop if |
|---|---|---|
| Destination named | Host and port appear in the cell | Cell names a VLAN or a subnet |
| Direction stated | Initiator and responder are both clear | Cell implies two-way access |
| Dependency listed | DNS or identity path is explicit | Whole infrastructure range is granted |
| Negative case written | At least one denied pair is recorded | Only allow rules exist |
ਦਿਸ਼ਾ ਕਾਲਮ ਸਭ ਤੋਂ ਮਹਿੰਗੀਆਂ ਗਲਤੀਆਂ ਫੜਦਾ ਹੈ। ਕਰਮਚਾਰੀਆਂ ਨੂੰ ਐਪਲੀਕੇਸ਼ਨ ਖੋਲ੍ਹਣ ਦੀ ਇਜਾਜ਼ਤ ਦਾ ਅਰਥ ਇਹ ਨਹੀਂ ਕਿ ਐਪਲੀਕੇਸ਼ਨ ਸਰਵਰ ਕਰਮਚਾਰੀਆਂ ਦੇ ਲੈਪਟਾਪ ਵੱਲ ਵਾਪਸ ਕਨੈਕਸ਼ਨ ਖੋਲ੍ਹ ਸਕਦੇ ਹਨ, ਅਤੇ ਪਹਿਲੀ ਦਿਸ਼ਾ ਦੀ ਇਜਾਜ਼ਤ ਦੇਣ ਵਾਲਾ ਹਾਲਤ-ਵਾਲਾ ਨਿਯਮ ਅਕਸਰ ਦੂਜੀ ਦੀ ਇਜਾਜ਼ਤ ਵਜੋਂ ਪੜ੍ਹਿਆ ਜਾਂਦਾ ਹੈ।
ਕਦਮ 3: ਤੈਅ ਕਰੋ ਕਿ ਪਛਾਣ ਕਿੱਥੇ ਨੀਤੀ ਬਣਦੀ ਹੈ
ਕਿਸੇ ਨੂੰ ਪ੍ਰਮਾਣਿਤ ਸੈਸ਼ਨ ਨੂੰ ਅਜਿਹੀ ਭੂਮਿਕਾ ਵਿੱਚ ਬਦਲਣਾ ਪਵੇਗਾ ਜੋ ਗੇਟਵੇ ਲਾਗੂ ਕਰ ਸਕੇ। ਸਮਰਥਿਤ ਵਿਕਲਪਾਂ ਵਿੱਚ ਪ੍ਰਮਾਣਕਰਨ ਬੈਕਐਂਡ ਵੱਲੋਂ ਦਿੱਤੀ ਸਮੂਹ ਨੀਤੀ, ਭਰੋਸੇਯੋਗ ਸੈਸ਼ਨ ਗੁਣ, ਜਾਂ ਹਰ ਭੂਮਿਕਾ ਲਈ ਵੱਖਰੇ ਪਤਾ ਪੂਲ ਸ਼ਾਮਲ ਹਨ। ਤਿੰਨੇ ਕੰਮ ਕਰਦੇ ਹਨ; ਕਲਾਇੰਟ ਵੱਲੋਂ ਭੇਜਿਆ ਲੇਬਲ ਨਹੀਂ। ਫੋਰਮ ਪੋਸਟ ਜੋ ਦੱਸਦੀ ਹੈ ਉਹ ਨਹੀਂ, ਤੁਹਾਡਾ ਗੇਟਵੇ ਜਿਸ ਦਾ ਦਸਤਾਵੇਜ਼ ਬਣਾਉਂਦਾ ਹੈ ਉਹ ਢੰਗ ਚੁਣੋ।
ਸਿਰਫ਼ VLAN ਦਾ ਲੱਗਣ ਵਾਲਾ ਪਤਾ ਦੇਣਾ ਦੂਜੇ ਭੇਸ ਵਿੱਚ ਉਹੀ ਜਵਾਬ-ਨ-ਹੋਣਾ ਹੈ। OpenVPN ਫਾਇਰਵਾਲ ਨਿਯਮਾਂ ਬਾਰੇ Netgate ਦੀ ਮਾਰਗਦਰਸ਼ਕਾ ਇਹ ਵੱਖਰਤਾ ਸਪੱਸ਼ਟ ਕਰਦੀ ਹੈ: ਟਨਲ ਨੂੰ ਉੱਪਰ ਆਉਣ ਦੇਣਾ ਉਸ ਵਿੱਚੋਂ ਟ੍ਰੈਫਿਕ ਲੰਘਣ ਦੇਣ ਨਾਲੋਂ ਵੱਖਰਾ ਫ਼ੈਸਲਾ ਹੈ।
ਤੁਸੀਂ ਕਿਹੜਾ ਢੰਗ ਚੁਣਿਆ ਅਤੇ ਉਹ ਕਿੱਥੇ ਸੰਰਚਿਤ ਹੈ, ਲਿਖੋ। ਜਦੋਂ ਭੂਮਿਕਾ ਬਦਲਦੀ ਹੈ, ਤਾਂ ਉਹ ਨੋਟ ਇੱਕ ਸੋਧ ਅਤੇ ਤਿੰਨ ਇੰਟਰਫ਼ੇਸਾਂ ਵਿੱਚ ਭਾਲ ਵਿਚਕਾਰਲਾ ਫ਼ਰਕ ਹੈ। ਇਹ ਆਡੀਟਰ ਨੂੰ ਵੀ ਦੱਸਦਾ ਹੈ ਕਿ ਪਹਿਲਾਂ ਕਿੱਥੇ ਵੇਖਣਾ ਹੈ।
ਕਦਮ 4: ਮੰਜ਼ਿਲ ਜੋ ਸਰੋਤ ਪਤਾ ਵੇਖਦੀ ਹੈ, ਉਸ ਵੱਲ ਧਿਆਨ ਦਿਓ
ਸੀਮਾ 'ਤੇ ਫਾਰਵਰਡਿੰਗ ਨੀਤੀ ਅਸਲ ਸਰੋਤ ਨਾਲ ਮੇਲ ਖਾਣੀ ਚਾਹੀਦੀ ਹੈ। ਜੇ ਗੇਟਵੇ VPN ਕਲਾਇੰਟਾਂ ਦਾ ਆਪਣੇ ਪਤੇ ਵਿੱਚ ਅਨੁਵਾਦ ਕਰਦਾ ਹੈ, ਤਾਂ ਹੇਠਲਾ ਹਰ ਫਾਇਰਵਾਲ ਇੱਕੋ ਸਰੋਤ ਵੇਖਦਾ ਹੈ ਅਤੇ ਭੂਮਿਕਾ ਅਨੁਸਾਰ ਫ਼ੈਸਲਾ ਲੈਣ ਦੀ ਸਮਰੱਥਾ ਗੁਆ ਦਿੰਦਾ ਹੈ। ਜੇ ਉਹ ਕਲਾਇੰਟ ਦਾ ਪਤਾ ਸੰਭਾਲਦਾ ਹੈ, ਤਾਂ ਉਸ ਪੂਲ ਲਈ ਵਾਪਸੀ ਮਾਰਗ ਹੋਣਾ ਚਾਹੀਦਾ ਹੈ।
ਅੰਤਿਮ ਨਿਯਮ ਲਿਖਣ ਤੋਂ ਪਹਿਲਾਂ ਦੋਵੇਂ ਦਿਸ਼ਾਵਾਂ ਜਾਂਚੋ, ਫਿਰ ਹਰ ਖਾਨੇ ਦੇ ਕੋਲ ਦੇਖਿਆ ਗਿਆ ਸਰੋਤ ਲਿਖੋ। ਉਹੀ ਜਾਂਚ ਦੋ ਵੱਖਰੀਆਂ ਭੂਮਿਕਾਵਾਂ ਤੋਂ ਚਲਾਓ ਅਤੇ ਨਤੀਜੇ ਦੀ ਤੁਲਨਾ ਕਰੋ। ਜੇ ਦੋਵੇਂ ਗੇਟਵੇ ਦਾ ਪਤਾ ਦਿਖਾਉਣ, ਤਾਂ ਭੂਮਿਕਾਵਾਂ ਦਾ ਫ਼ਰਕ ਪਹਿਲਾਂ ਹੀ ਗੁਆਚ ਚੁੱਕਾ ਹੈ। ਜੋ ਮੈਟ੍ਰਿਕਸ ਸੰਭਾਲੇ ਪਤੇ ਮੰਨਦਾ ਹੈ ਜਦੋਂ ਕਿ ਗੇਟਵੇ ਸਰੋਤ-ਅਨੁਵਾਦ ਕਰ ਰਿਹਾ ਹੋਵੇ, ਉਹ ਪਹਿਲੇ ਹੇਠਲੇ ACL 'ਤੇ ਫੇਲ੍ਹ ਹੁੰਦਾ ਹੈ।
ਕਦਮ 5: ਜਾਰੀ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ ਹਰ ਖਾਨੇ ਦੀ ਜਾਂਚ ਕਰੋ
ਹਰ ਮਨਜ਼ੂਰ ਖਾਨੇ ਨੂੰ ਇੱਕ ਪ੍ਰਤੀਨਿਧ ਕਾਰਵਾਈ ਵਿੱਚ ਅਤੇ ਹਰ ਰੱਦ ਖਾਨੇ ਨੂੰ ਨਕਾਰਾਤਮਕ ਮਾਮਲੇ ਵਿੱਚ ਬਦਲੋ। ਦੋਵੇਂ ਅਸਲ ਭੂਮਿਕਾ ਵਾਲੇ ਕਲਾਇੰਟ ਤੋਂ ਚਲਾਓ, ਗੇਟਵੇ ਕੰਸੋਲ ਤੋਂ ਨਹੀਂ, ਕਿਉਂਕਿ ਕੰਸੋਲ ਉਸ ਮਾਰਗ ਨੂੰ ਬਾਈਪਾਸ ਕਰਦਾ ਹੈ ਜਿਸ ਦੀ ਤੁਸੀਂ ਜਾਂਚ ਕਰ ਰਹੇ ਹੋ।
# allowed: staff role reaches the ERP endpoint
curl -sS -o /dev/null -w '%{http_code}\n' --max-time 5 https://erp.internal.example/health
# denied: the same role must not reach a management host
nc -vz -w 3 10.30.5.11 22
# observed source address at the destination
sudo tcpdump -ni any 'tcp port 443 and host 10.30.20.15'ਜੁੜਨ ਵਾਲਾ ਨਕਾਰਾਤਮਕ ਮਾਮਲਾ ਇੱਕ ਖੋਜ ਹੈ, ਸੰਜੋਗ ਨਹੀਂ, ਅਤੇ ਨਿਯਮ ਠੀਕ ਹੋਣ ਤੱਕ ਉਸ ਦਾ ਸਥਾਨ ਮੈਟ੍ਰਿਕਸ ਵਿੱਚ ਫੇਲ੍ਹ ਖਾਨਾ ਹੈ। ਜਾਂਚ ਕਮਾਂਡਾਂ ਸਾਰਣੀ ਦੇ ਕੋਲ ਰੱਖੋ ਤਾਂ ਜੋ ਅਗਲਾ ਸਮੀਖਿਅਕ ਤਰਕ ਮੁੜ ਨਾ ਬਣਾ ਕੇ ਉਨ੍ਹਾਂ ਨੂੰ ਦੁਬਾਰਾ ਚਲਾਏ।
ਪੂਰੀ ਹੋਈ ਸਾਰਣੀ ਉਸ ਗੇਟਵੇ ਨਾਲੋਂ ਵੱਧ ਜੀਉਂਦੀ ਹੈ ਜਿਸ ਲਈ ਉਹ ਲਿਖੀ ਗਈ ਸੀ। ਨਿਯਮ ਫਰਮਵੇਅਰ ਅਤੇ ਵਿਕਰੇਤਾ ਨਾਲ ਬਦਲਦੇ ਹਨ, ਪਰ ਉਹ ਕਤਾਰ ਜੋ ਕਹਿੰਦੀ ਹੈ ਕਿ ਠੇਕੇਦਾਰ ਇੱਕ ਪ੍ਰੋਜੈਕਟ ਸੇਵਾ ਤੱਕ ਪਹੁੰਚਦਾ ਹੈ, ਉਸ ਕੰਮ ਦੇ ਬਦਲਣ ਤੱਕ ਸੱਚੀ ਰਹਿੰਦੀ ਹੈ।