له VPN څخه VLAN ته لاسرسی: لومړی میټریکس جوړ کړئ، بیا قواعد
یوې خوا ته رولونه، بلې خوا ته خدمتونه. پنځه څیړنې یو ناڅرګند د VPN څخه VLAN ته د لاسرسي ډیزاین په داسې جدول بدلوي چې د فایر وال مالک یې پلي کولی شي.
له میټریکس سره پیل وکړئ، نه د فایر وال له نحو سره۔ هغه جدول چې یوې خوا ته رولونه او بلې خوا ته خدمتونه وي، د اپلیکیشن مالک یې کتنه کولی شي، د امنیت مالک پرې بحث کولی شي او څوک چې ګیټ وې لري یې پلي کولی شي۔ دا کتنه د هغو قواعدو له سمولو ارزانه ده چې هیڅوک پرې نه دي سره یوځای شوي۔
د هغه لیکل یوه ساعت وروسته د قواعدو یوه اونۍ لرغونتپوهنه خوندي کوي۔ ډیزاین د دې په اړه خبرې کوي چې څوک کوم خدمت ته رسیږي، او همدا هغه برخه ده چې له بیا شمېرنې وروسته پاتې کیږي۔
ګام 1: له شبکو مخکې رولونه ونوموئ
له خلکو پیل وکړئ، نه له سویچ۔ هره هغه ډله چې له لارې څخه نښلیږي او هغه یوه جمله چې بیانوي هغه ډله څه کوي ولیکئ، لکه د ګدام کارکوونکي چې د ذخیرې کچې لولي یا یو قراردادي چې یو یوځایوالی ساتي۔ که دوه ډلې ورته لاسرسی ومومي، د دې موخې لپاره یو رول دي۔
که یو رول یوازې د سازماني چارټ له امله وي، دلته ودروئ۔ هغه رول چې خپله جلا خدمت اړتیا نلري د ورته حجرو قطار کیږي، او ورته قطارونه بل څوک هڅوي چې وروسته د اسانتیا لپاره ټول فرعي شبکه ورکړي۔ د هغه څه له مخې ووېشئ چې خلک یې کوي، نه د هغه له مخې چې د دوی لګښتونه څوک لاسلیک کوي۔ د یو کوچني دفتر لپاره شپږ رولونه معمولاً ډېر دي او درې ډېری سم وي۔
ګام 2: هر حجره په خدمتي بیان بدله کړئ
هغه حجره چې «اپلیکیشنونه» لیکل شوي وي د ازموینې وړ نه ده۔ هغه حجره چې «له کارکوونکو زېرمې څخه 443 پورټ کې ERP کوربه ته HTTPS» لیکل شوي وي د ازموینې وړ ده۔ هر شبکه نوم په منزل، پروتوکول او پورټ بدل کړئ، بیا هغه تکیه اضافه کړئ چې پرته له هغې خدمت نه شي کار کولی، لکه داخلي حل کوونکی یا د هویت چمتو کوونکی۔
| Check | Passes when | Stop if |
|---|---|---|
| Destination named | Host and port appear in the cell | Cell names a VLAN or a subnet |
| Direction stated | Initiator and responder are both clear | Cell implies two-way access |
| Dependency listed | DNS or identity path is explicit | Whole infrastructure range is granted |
| Negative case written | At least one denied pair is recorded | Only allow rules exist |
د لوري کالم تر ټولو ګران تېروتنې نیسي۔ کارکوونکو ته د اپلیکیشن پرانیستلو اجازه دا نه مانا ده چې اپلیکیشن سرورونه دې کارکوونکو د لپ ټاپونو ته بېرته اړیکې پرانیزي، او هغه حالت لرونکی قاعده چې لومړی لوری اجازه ورکوي ډېری وخت د دویم لوري د اجازې په توګه لوستل کیږي۔
ګام 3: پریکړه وکړئ چې هویت چېرته پالیسي کیږي
یو څوک باید تصدیق شوې ناسته په داسې رول بدله کړي چې ګیټ وې یې پلي کولی شي۔ ملاتړ شوي انتخابونه د تصدیق بیک اېنډ لخوا ورکړل شوې ډله پالیسي، باوري ناستې ځانګړتیاوې، یا د هر رول لپاره جلا پته زېرمې شاملې دي۔ درې واړه کار کوي؛ هغه لیبل چې کلینټ یې لیږي نه کار کوي۔ هغه میکانیزم وټاکئ چې ستاسو ګیټ وې یې مستند کوي، نه هغه چې یو فورم پوسټ یې بیانوي۔
داسې پته ورکول چې یوازې د VLAN ښکاري په بله جامه کې هماغه بې ځوابه ده۔ د OpenVPN فایر وال قواعدو په اړه د Netgate لارښود دا جلاوالی روښانه کوي: د تونل پورته کېدو ته اجازه ورکول له هغې څخه د ترافیک تېرېدو ته له اجازې جلا پریکړه ده۔
ولیکئ چې کوم میکانیزم مو وټاکه او چېرته تنظیم شوی۔ کله چې یو رول بدلیږي، هغه یادښت د یوې سمونې او په درېو انټرفیسونو کې د پلټنې ترمنځ توپیر دی۔ دا همدارنګه پلټونکي ته وایي چې لومړی چېرته وګوري۔
ګام 4: هغه سرچینه پته وګورئ چې منزل یې ویني
د لېږد پالیسي باید په پوله کې له ریښتینې سرچینې سره سمون ولري۔ که ګیټ وې VPN کلینټونه خپلې پتې ته ژباړي، هر لاندنی فایر وال یوه سرچینه ویني او د رول له مخې د پریکړې کولو وړتیا له لاسه ورکوي۔ که د کلینټ پته وساتي، د هغې زېرمې لپاره د بېرته تګ لار باید موجوده وي۔
له وروستي قواعدو لیکلو مخکې دواړه لوري وآزمویئ، بیا مشاهده شوې سرچینه د هرې حجرې ترڅنګ ولیکئ۔ هماغه څیړنه له دوو جلا رولونو څخه وچلوئ او پایله پرتله کړئ۔ که دواړه د ګیټ وې پته وښیي، د رولونو توپیر لا دمخه ورک شوی۔ هغه میټریکس چې ساتل شوې پتې فرض کوي پداسې حال کې چې ګیټ وې د سرچینې ژباړه کوي، په لومړي لاندني ACL کې ناکام کیږي۔
ګام 5: له خپرولو مخکې هره حجره وآزمویئ
هره اجازه شوې حجره په یوه استازیتوب کوونکې عملیه او هره رد شوې حجره په منفي پېښه بدله کړئ۔ دواړه له ریښتیني رول کلینټ څخه وچلوئ، نه د ګیټ وې کنسول څخه، ځکه کنسول هغه لار پرېږدي چې تاسو یې آزموئ۔
# allowed: staff role reaches the ERP endpoint
curl -sS -o /dev/null -w '%{http_code}\n' --max-time 5 https://erp.internal.example/health
# denied: the same role must not reach a management host
nc -vz -w 3 10.30.5.11 22
# observed source address at the destination
sudo tcpdump -ni any 'tcp port 443 and host 10.30.20.15'نښلیږدونکې منفي پېښه یوه موندنه ده، نه تصادف، او تر هغه چې قاعده سمه شي د هغې ځای په میټریکس کې ناکامه حجره ده۔ د ازموینې حکمونه د جدول ترڅنګ وساتئ، راتلونکی بیاکتونکی یې بیا وچلوې نه دې چې استدلال بیا جوړ کړي۔
بشپړ شوی جدول له هغه ګیټ وې اوږد ژوند کوي چې د هغه لپاره لیکل شوی۔ قواعد له فرم ویر او پیرودونکي سره بدلیږي، خو هغه قطار چې وایي یو قراردادي یو پروژې خدمت ته رسیږي تر هغه پورې سم پاتې کیږي چې هغه کار بدل شي۔