Po odszyfrowaniu: która polityka pierwsza widzi ruch VPN

Przepływ VPN może być doskonale zaszyfrowany i doskonale uwierzytelniony, a mimo to trafić tam, gdzie nikt tego nie planował. Kabel, który wtykasz, nie decyduje, która reguła przetwarza wewnętrzny pakiet; robią to hak polityki i trasa. Dlatego dwa projekty wyglądające identycznie na schemacie szafy mogą mieć zupełnie inne egzekwowanie. Wybór między nimi zaczyna się od nazwania kontroli, która pierwsza widzi odszyfrowany przepływ.

Decyduj po haku polityki, a nie po porcie

Każda platforma VPN ocenia odszyfrowany ruch w pewnym punkcie, zanim go przekazuje, i ten punkt ma nazwę w konfiguracji. Na jednej platformie to filtr polityki grupowej, na innej polityka interfejsu lub para stref, a na urządzeniu routującym może to być po prostu łańcuch forward. Hak egzekwuje regułę, a port przełącznika to tylko miejsce, w którym kończy się kabel. Znalezienie haka to pierwsza decyzja, bo wszystko inne jest rozmieszczeniem względem niego.

Zanim spojrzysz na sprzęt, zapisz przepływ: kto jest źródłem, dokąd zmierza, który protokół go niesie i która usługa jest dozwolona. Potem znajdź kontrolę, która egzekwuje każdy z tych czterech faktów.

Dwie drogi, dwie różne historie egzekwowania

Dwa kształty są częste i każdy może być właściwy dla innego wymagania.

endpoint -> shared inside subnet -> server
endpoint -> dedicated transit -> policy firewall -> server subnet

Pierwszy kształt może wyegzekwować wszystko, co potrzebne, na bramie, pod warunkiem że polityka bramy jest napisana dla tego celu, a serwer nie ma drogi obejścia. Drugi dodaje granicę, ale tylko jeśli trasy i polityka naprawdę przepuszczają przez nią ruch. Serwer w tym samym segmencie co punkt końcowy może nigdy nie pójść wymyślonym skokiem pośrednim. Schemat pokazuje zamiar, a tabela tras pokazuje, co się dzieje.

Weryfikuj przez wyszukanie trasy, a nie przez rysunek. Interfejs, przez który pakiet wychodzi, i wybrany następny skok decydują, czy drugi kształt działa jak zaprojektowano.

ip route get 10.30.7.20
sudo iptables -S FORWARD
sudo tcpdump -ni inside0 host 10.30.7.20

Oddziel topologię od izolacji

Wspólna podsieć nie czyni miejsca niezaufanym, a dedykowany tranzyt nie czyni go chronionym. Decyduje faktycznie zastosowane ograniczenie, faktycznie zachodzące przekazywanie i to, kto administruje każdym elementem. Liczenie przełączników nie mówi nic o żadnym z tych trzech. Decyduj na podstawie polityki i trasy, a topologia niech podąża za decyzją.

Traktuj populacje ruchu osobno. Pule dostępu zdalnego, prefiksy lokacja-lokacja i sieci linii dzierżawionych mogą dzielić jedno urządzenie i nadal wymagać innych reguł, bo ich tożsamość i ryzyko się różnią. Reguła napisana dla jednej populacji po cichu obejmuje pozostałe, gdy dzielą plan adresowy.

Sprawdź awarię i zarządzanie dla każdego umieszczenia

Każde umieszczenie ma tryb awarii, a użyteczne pytanie brzmi, co jeszcze działa, gdy komponent się zatrzyma. Kilka interfejsów logicznych na jednym martwym urządzeniu nie daje niezależnego odtworzenia, a zapora poniżej dzieląca to samo zasilanie lub tego samego administratora nie jest drugą granicą. Zapytaj, gdzie biegnie ścieżka zarządzania, bo konsola dostępna tylko przez tunel nie jest żadną ścieżką odtworzenia; ssh [email protected] true z zewnątrz tunelu to najtańszy sposób udowodnienia, że konsola od niego nie zależy. Dokumentacja polityki grupowej jednej platformy umieszcza filtr na ruchu po odszyfrowaniu i przed szyfrowaniem, czyli dokładnie taki nazwany hak, jakiego szukać w każdym produkcie.

Zapisz historię awarii każdego kandydata obok historii egzekwowania. Umieszczenie, które wygrywa na przeglądzie, a przegrywa na odtworzeniu, jest wymianą i warto je tak zapisać, zamiast odkrywać podczas incydentu.

Akceptuj z przepływem dozwolonym i zabronionym

Mając zatwierdzony plan testów, sprawdź trzy rzeczy z rzeczywistego źródła VPN: aplikację, która powinna działać, zasób, który nie powinien, oraz kierunek, z którego wraca odpowiedź. Odmowa jest dowodem, że polityka działa, a przepływ dozwolony dowodzi tylko, że ścieżka istnieje.

Zachowaj wybraną trasę i wynik polityki razem, bo wynik bez trasy nie da się odtworzyć, a trasy bez wyniku nie da się obronić. Ta para jest znacznie użyteczniejsza przy wyborze punktu przyłączenia niż jakiekolwiek twierdzenie o tym, która warstwa przełączania jest sama w sobie bezpieczniejsza.