د ډیکریپټ شوي لار په نښه کړئ: VPN وسیله پالیسي چېرته پلي کوي
هغه ډیاګرام چې په کوډ شوي اورېدونکي کې ودرېږي مهمه پالیسي نه ښیي. ډیکریپټ شوې لار په نښه کړئ، بیا د هغه څه له مخې چې غوښتنه یې تېرېږي ځایونه پرتله کړئ.
د پلورونکو ډیاګرامونه معمولاً په کوډ شوي اورېدونکي کې ودرېږي، ځکه چې عامه پته لرونکې برخه همدا ده. هغه پوښتنه چې د امنیت حالت ټاکي دا ده چې د ډیکریپشن وروسته څه پېښېږي، کله چې بسته عادي IP شي او هر هغه ځای ته ورسیږي چې د لارښوونې جدول یې اجازه ورکوي. که چا هغه پښه نه وي رسم کړې، نو مالک یې هم نشته. لاندې لارښود لومړی هغه رسم کوي، بیا د هغه څه له مخې چې ډیکریپټ شوې غوښتنه واقعاً تېرېږي ځایونه پرتله کوي.
بسته د ډیکریپشن وروسته رسم کړئ، نه مخکې
بهرنۍ لار هغه برخه ده چې پلورونکي یې مستند کوي: عامه پای ټکی، هغه ټرانسپورټي پالیسي چې اړیکه مني، او هغه خدمت چې پای ته یې رسوي. دنننې لار هغه شیبه پیلېږي چې بسته خپل تونل سرلیک له لاسه ورکوي، او له هغه ځایه د تونل سره هېڅ تړاو نه لرونکي لارښوونې او فلټر قواعد یې چلوي. دواړه په یوه پاڼه کې کېږدئ، ځکه چې یوازې لومړی ښودونکی ډیاګرام دا اشاره کوي چې داخلېدل او اجازه یوه پرېکړه ده. داسې نه ده، او د دوی ترمنځ واټن هغه ځای دی چې ډېری ځایونه پکې غلطي کوي.
دنننې پښه د غشي په توګه نه، بلکې د نومول شوو وسیلې ډولونو سره د شمېرو ترتیب په توګه ولیکئ. غشی پټوي چې غوښتنه کوم فلټر تېرېږي که نه، او تېرېدل یا نه تېرېدل ټوله پوښتنه ده. لاندې هر ګام وسیله او هلته فعال د قواعدو ټولګه نوموي، نو ورکه فلټر د کرښې له مخې اشاره شوې شی نه، بلکې تشه ښکاري.
- لرې کلاینټ: هغه کارن وسیله چې تونل جوړوي.
- پښۍ پالیسي: هغه قواعد چې بهرنۍ ټرانسپورټ عامه اورېدونکي ته مني.
- پای ته رسوونکې وسیله: د VPN پای ټکی چې بسته ډیکپسول کوي او عادي IP ته یې سپاري.
- دنننی فلټر: د لېږد یا امنیتي ګروپ قواعد چې د کلاینټ څخه خدمت ته ټرافیک محدودوي.
- د اپلیکیشن کوربه: هغه خدمت چې ډیکریپټ شوې غوښتنه ترلاسه کوي.
دوه پالیسۍ، دوه مالکان
بهرنۍ پالیسي ځواب ورکوي چې څوک کولای شي تونل جوړ کړي، او د هغو قواعدو په بڼه ښکاري چې ټرانسپورټ پای ته رسوونکي خدمت ته مني. دنننې پالیسي ځواب ورکوي چې تصدیق شوی کارن کوم خدمت ته رسېدلی شي، او په لېږد قواعدو، امنیتي ګروپونو یا په خود اپلیکیشن کې اوسېږي. یوه وسیله دواړه کولای شي، او د څو وسیلو ډیزاین هم دواړه لري. یوازې د دوی جلا نومول د دې وړتیا درکوي چې ووایاست کوم یې ناکام شو کله چې کارن اپلیکیشن ته نه رسېږي.
د داخلېدو کنټرول لکه سندونه او څو-فکتوره تصدیق یوازې هویت ته ځواب وایي، بل هیڅ ته نه. دوی ځای نه ټاکي، او د کارن له داخلېدو وروسته د سرچینې له مخې اجازه نه ورکوي.
ځای ټاکي چې غوښتنه کومه پوله تېرېږي
درې ځایونه عام دي، او هر یو بدلوي چې ډیکریپټ شوې غوښتنه کومه پوله تېرېږي. دوی د هغه څه له مخې پرتله کړئ چې هلته پای ته رسېږي، څه څرګند متن لیدلی شي، کوم کنټرول لا هم غوښتنه ردولی شي، او د وسیلې سره یوځای څه ناکامېږي. لاندې جدول د عمومي پوښتنې پر ځای هغه څلور کالمونه کاروي، ځکه چې هر ځواب جلا ډیزاین پرېکړه ده.
| Placement | What terminates there | What sees plaintext | Which control can still deny | Failure domain |
|---|---|---|---|---|
| Termination in a dedicated segment | A dedicated VPN endpoint | The endpoint and anything on its segment | The filter between that segment and the application | The segment path can bypass the filter if no rule sits on it |
| Termination on the edge firewall | The firewall's public listener | The firewall, after decapsulation | The firewall's inner rule set | Admission and inspection fail together |
| Termination on the protected LAN | The appliance's LAN leg | Every host on the protected LAN | Only a host control or a downstream gateway | The appliance and the protected hosts fail together |
دریم ځای هغه دی چې پلي کول په خاموشۍ لرې کوي، ځکه چې په ساتل شوې برخه کې پښه وسیلې ته هغه مستقیمه لار ورکوي چې ډیاګرام یې کېدای شي ونه ښیي. انځور نه، انټرفیسونه او لارې وګورئ: ip route get 10.20.5.10 وایي چې بسته به له کوم انټرفیس ووځي، او ځواب ډېری وخت هغه نه وي چې ډیزاین یې فرض کړی و. د اورفال کلاسیک رول چې د دریځونو ترمنځ ټرافیک کنټرولوي، لکه څنګه چې په لاندې سند کې بیان شوی،NIST SP 800-41 دلته ګټور ازموینه ده، ځکه چې ساتل شوي شبکې ته بې حده پښه لرونکې وسیله ډېر څه نه کنټرولوي. د لارې پلټنه له غونډې ډیاګرام څخه ډېر رښتینی ډیاګرام دی.
اداره باید په خپله ښکاره اجازه شوې لاره وي. کارنانو ته د اپلیکیشن رسېدو اجازه ورکول هېڅکله د دې غوښتنه نه کوي چې دوی ته د وسیلې کنټرول انټرفیس ته رسېدو اجازه ورکړل شي، او دواړه اجازې باید له جلا قواعدو ورکړل شي. دواړه لارې جلا جلا پلټئ، ځکه چې شریکه قاعده پټوي چې کومه پرانیستل شوه.
ژباړه بدلوي چې لاندې قواعد څه لیدلی شي
د سرچینې ژباړه اسانه ده او معلومات له منځه وړي. د masquerade وروسته هر کلاینټ د وسیلې په څېر ښکاري، نو هغه لاندې قاعده چې د کارنانو توپیر لپاره لیکل شوې وه نور نشي کولای. دا یوازې د لاګ ستونزه نه ده، دا د پالیسۍ ستونزه ده: د کلاینټ پتې ته تړل شوې قاعده په خاموشۍ د ګېټوې ته تړل شوې قاعده کېږي. که د هر کارن پالیسي مهمه وي، سرچینه وساتئ یا پالیسي د ژباړې مخکې پلي کړئ.
د ځواب لاره هم د همدې کتنې وړ ده. ثبت کړئ چې منزل د بېرته راتلونکې بستې لپاره کومه لار ټاکي، ځکه چې ناسمه بېرته راتګ د حالت لرونکې کتنې څخه تېرېږي او هغه اړیکه جوړوي چې ټینګېږي او بیا بندېږي. دواړه لوري باید هغه پوله تېره کړي چې تاسو رسم کړې، که نه پوله سینګار دی.
sudo tcpdump -ni inside0 host 10.20.5.10
ip route get 10.20.5.10
sudo iptables -t nat -S POSTROUTINGیوه اجازه شوې او یوه رد شوې عملیه ومنئ
له اصلي لرې کلاینټ څخه ازموینه وکړئ نه له مدیریت کوربه، ځکه چې مدیریت کوربه معمولاً هغه ځای ناست وي چې کارن به هېڅکله نه وي. یوه اجازه شوې عملیه ثابتوي چې لاره کار کوي، او یوه رد شوې ثابتوي چې پالیسي لږ تر لږه یو څه کوي. د هر ځای بدلون وروسته دواړه وچلوئ، او کارول شوې سرچینه پېژندنه او منزل ثبت کړئ. یوازې بریا ثابتونکې ازموینه سمه قاعده له ورکې قاعدې څخه نه شي بېلولی.
بیا هغه حالتونه ازموئ چې وضعیت بدلوي: بیا نښلېدل، هغه ناسته چې د کیلي څرخېدلو څخه اوږده پاتې کېږي، او د وسیلې خپله ناکامي. تازه کول، ظرفیت او بیا رغونه د همدې ترتیب برخه په توګه پرتله کړئ، ځکه چې څو منطقي کنټرولونه لرونکې یوه وسیله یوازې یوه ناکامي سیمه ده چې څو لیبلونه لري. شریک اداري اعتبار یا بې حده لار چې د جوړولو وړ پوله ماتوي، دوهم صندوق هم خپلواک نه دی.
پای ټکی، ډیکریپټ شوې لار او هغه کنټرول چې محدودوي یې مستند کړئ. هغه درې کرښې به هر څه نومول شي، معنی لري.