После расшифровки: какая политика первой видит ваш VPN-трафик

Поток VPN может быть идеально зашифрован и идеально аутентифицирован и всё же оказаться там, где никто не планировал. Кабель, который вы вставляете, не определяет, какое правило обрабатывает внутренний пакет; это делают хук политики и маршрут. Поэтому два проекта, выглядящие одинаково на схеме стойки, могут иметь совершенно разное исполнение. Выбор между ними начинается с называния контроля, который первым видит расшифрованный поток.

Решайте по хуку политики, а не по порту

Каждая платформа VPN оценивает расшифрованный трафик в некоторой точке перед его передачей, и у этой точки есть имя в конфигурации. На одной платформе это фильтр групповой политики, на другой — политика интерфейса или пара зон, а на маршрутизаторе это может быть просто цепочка forward. Хук обеспечивает правило, а порт коммутатора — лишь место, где заканчивается кабель. Найти хук — первое решение, потому что всё остальное — размещение относительно него.

Прежде чем смотреть на оборудование, запишите поток: кто источник, куда он идёт, какой протокол его несёт и какая служба разрешена. Затем найдите контроль, который обеспечивает каждый из этих четырёх фактов.

Два пути, две разные истории исполнения

Две формы распространены, и каждая может быть верной для разных требований.

endpoint -> shared inside subnet -> server
endpoint -> dedicated transit -> policy firewall -> server subnet

Первая форма может обеспечить всё нужное на шлюзе, при условии что политика шлюза написана для этого назначения и у сервера нет обходного пути. Вторая добавляет границу, но только если маршруты и политика действительно пропускают трафик через неё. Сервер в том же сегменте, что и конечная точка, может никогда не пойти по воображаемому промежуточному переходу. Схема показывает замысел, а таблица маршрутов — что происходит.

Проверяйте поиском маршрута, а не рисунком. Интерфейс, через который пакет уходит, и выбранный следующий переход решают, ведёт ли себя вторая форма так, как задумано.

ip route get 10.30.7.20
sudo iptables -S FORWARD
sudo tcpdump -ni inside0 host 10.30.7.20

Отделяйте топологию от изоляции

Общая подсеть не делает место недоверенным, а выделенный транзит не делает его защищённым. Решает фактически применённое ограничение, фактически происходящая передача и то, кто администрирует каждую часть. Подсчёт коммутаторов ничего не говорит ни об одном из трёх. Решайте исходя из политики и маршрута, а топология пусть следует решению.

Рассматривайте группы трафика отдельно. Пулы удалённого доступа, префиксы сайт-сайт и сети выделенных линий могут делить одно устройство и всё же требовать разных правил, потому что их идентичность и риск различаются. Правило, написанное для одной группы, молча охватывает остальные, когда они делят план адресов.

Проверяйте отказ и управление для каждого размещения

У каждого размещения есть режим отказа, и полезный вопрос — что ещё работает, когда компонент останавливается. Несколько логических интерфейсов на одном мёртвом устройстве не дают независимого восстановления, а нижестоящий межсетевой экран с тем же питанием или тем же администратором не является второй границей. Спросите, где проходит путь управления, потому что консоль, доступная только через туннель, вообще не путь восстановления; ssh [email protected] true снаружи туннеля — самый дешёвый способ доказать, что консоль от него не зависит. Документация групповой политики одной платформы помещает фильтр на трафик после расшифровки и до шифрования, и это именно тот именованный хук, который стоит искать в любом продукте.

Запишите историю отказа каждого кандидата рядом с историей исполнения. Размещение, выигрывающее при проверке и проигрывающее при восстановлении, — это обмен, и его следует так и записать, а не обнаруживать во время инцидента.

Принимайте с разрешённым и запрещённым потоком

С утверждённым планом тестирования проверьте три вещи из реального источника VPN: приложение, которое должно работать, ресурс, который не должен, и направление, с которого возвращается ответ. Отказ — доказательство того, что политика задействована, а разрешённый поток доказывает лишь существование пути.

Сохраняйте выбранный путь и результат политики вместе, потому что результат без пути не воспроизводится, а путь без результата не защитить. Эта пара куда полезнее для выбора точки подключения, чем любое утверждение о том, какой уровень коммутации сам по себе безопаснее.