După decriptare: ce politică vede prima dată traficul VPN

Un flux VPN poate fi perfect criptat și perfect autentificat și totuși să ajungă unde nimeni nu a planificat. Cablul pe care îl conectați nu determină ce regulă procesează pachetul interior; asta fac cârligul de politică și ruta. De aceea două proiecte identice pe o schemă de rack pot avea o aplicare complet diferită. Alegerea între ele începe prin a numi controlul care vede primul fluxul decriptat.

Decideți după cârligul de politică, nu după port

Fiecare platformă VPN evaluează traficul decriptat într-un anumit punct înainte de a-l trimite mai departe, iar acel punct are un nume în configurație. Pe o platformă este un filtru de politică de grup, pe alta o politică de interfață sau o pereche de zone, iar pe un echipament care rutează poate fi pur și simplu lanțul forward. Cârligul aplică regula, în timp ce portul switch-ului este doar locul unde se termină cablul. Găsirea cârligului este prima decizie, pentru că tot restul este plasare față de el.

Înainte de a privi hardware-ul, scrieți fluxul: cine este sursa, încotro merge, ce protocol îl transportă și ce serviciu este permis. Apoi găsiți controlul care aplică fiecare dintre aceste patru fapte.

Două căi, două povești de aplicare

Două forme sunt obișnuite și fiecare poate fi corectă pentru o cerință diferită.

endpoint -> shared inside subnet -> server
endpoint -> dedicated transit -> policy firewall -> server subnet

Prima formă poate aplica tot ce este necesar la gateway, cu condiția ca politica să fie scrisă pentru acea destinație și serverul să nu aibă o cale de ocolire. A doua adaugă o graniță, dar numai dacă rutele și politica fac traficul să treacă prin ea. Un server în același segment cu punctul final poate să nu urmeze niciodată saltul intermediar imaginat. Schema arată intenția, iar tabela de rute arată ce se întâmplă.

Verificați cu o căutare de rută, nu cu desenul. Interfața prin care iese pachetul și următorul salt pe care îl alege decid dacă a doua formă se comportă conform proiectului.

ip route get 10.30.7.20
sudo iptables -S FORWARD
sudo tcpdump -ni inside0 host 10.30.7.20

Separați topologia de izolare

Partajarea unei subrețele nu face un loc nesigur, iar un tranzit dedicat nu îl face protejat. Decide restricția aplicată efectiv, forwarding-ul care are loc efectiv și cine administrează fiecare parte. Numărarea switch-urilor nu spune nimic despre niciuna dintre cele trei. Decideți din politică și rută, iar topologia să urmeze decizia.

Tratați separat și populațiile de trafic. Pool-urile de acces la distanță, prefixele sit-la-sit și rețelele cu linii dedicate pot împărți un echipament și totuși au nevoie de reguli diferite, pentru că identitatea și riscul lor diferă. O regulă scrisă pentru o populație le acoperă în tăcere pe celelalte când împart un plan de adrese.

Verificați eșecul și administrarea pentru fiecare plasare

Fiecare plasare are un mod de eșec, iar întrebarea utilă este ce mai funcționează când o componentă se oprește. Mai multe interfețe logice pe un singur echipament mort nu oferă recuperare independentă, iar un firewall din aval care împarte aceeași alimentare sau același administrator nu este o a doua graniță. Întrebați pe unde trece calea de administrare, pentru că o consolă accesibilă doar prin tunel nu este deloc o cale de recuperare; ssh [email protected] true din afara tunelului este cea mai ieftină cale de a dovedi că acea consolă nu depinde de el. Documentația politicii de grup a unei platforme plasează filtrul pe trafic după decriptare și înainte de criptare, exact genul de cârlig numit pe care trebuie să îl căutați în orice produs.

Scrieți povestea eșecului fiecărui candidat lângă povestea aplicării. O plasare care câștigă la inspecție și pierde la recuperare este un schimb și trebuie consemnată ca atare, nu descoperită în timpul unui incident.

Acceptați cu un flux permis și unul refuzat

Cu un plan de test aprobat, verificați trei lucruri din sursa VPN reală: o aplicație care ar trebui să funcționeze, o resursă care nu ar trebui, și direcția din care revine răspunsul. Refuzul este dovada că politica este angajată, în timp ce fluxul permis dovedește doar că există o cale.

Păstrați calea aleasă și rezultatul politicii împreună, pentru că un rezultat fără cale nu poate fi reprodus, iar o cale fără rezultat nu poate fi apărată. Acea pereche este mult mai utilă pentru alegerea unui punct de conectare decât orice afirmație despre care strat de comutare este în sine mai sigur.