Nakon dešifrovanja: koja politika prva vidi vaš VPN saobraćaj

VPN tok može biti savršeno šifrovan i savršeno autentifikovan, a ipak završiti tamo gde niko nije planirao. Kabl koji uključite ne određuje koje pravilo obrađuje unutrašnji paket; to određuju politička kuka i ruta. Zato dva dizajna koja na dijagramu izgledaju isto mogu imati potpuno različito izvršenje. Odluka između njih počinje imenovanjem kontrole koja prva vidi dešifrovani tok.

Odlučujte po političkoj kuki, a ne po portu

Svaka VPN platforma procenjuje dešifrovani saobraćaj u nekoj tački pre nego što ga prosledi, a ta tačka ima ime u konfiguraciji. Na jednoj platformi to je filter grupne politike, na drugoj politika interfejsa ili par zona, a na ruteru može biti samo forward lanac. Kuka sprovodi pravilo, dok je port prekidača samo mesto gde kabl završava. Pronalaženje kuke je prva odluka, jer je sve ostalo smeštaj u odnosu na nju.

Pre nego što pogledate hardver, zapišite tok: ko je izvor, kuda ide, koji protokol ga nosi i koja je usluga dozvoljena. Zatim pronađite kontrolu koja sprovodi svaku od te četiri činjenice.

Dva puta, dve različite priče o izvršenju

Dva oblika su česta i svaki može biti ispravan za različit zahtev.

endpoint -> shared inside subnet -> server
endpoint -> dedicated transit -> policy firewall -> server subnet

Prvi oblik može sprovesti sve što treba na gejtveju, pod uslovom da je politika gejtveja napisana za to odredište i da server nema put oko nje. Drugi oblik dodaje granicu, ali samo ako rute i politika stvarno teraju saobraćaj kroz nju. Server na istom segmentu kao krajnja tačka možda nikada neće slediti zamišljeni međuskočni skok. Dijagram pokazuje nameru, a tabela ruta pokazuje šta se događa.

Proveravajte pretragom rute, a ne crtežom. Interfejs kroz koji paket izlazi i sledeći skok koji bira odlučuju da li drugi oblik radi kako je projektovan.

ip route get 10.30.7.20
sudo iptables -S FORWARD
sudo tcpdump -ni inside0 host 10.30.7.20

Odvojite topologiju od izolacije

Zajednička podmreža ne čini mesto nepouzdanim, a namenski tranzit ga ne čini zaštićenim. Odlučuje stvarno primenjeno ograničenje, stvarno prosleđivanje i to ko upravlja svakim delom. Brojanje prekidača ne govori ništa ni o jednoj od te tri stvari. Odlučite iz politike i rute, a topologija neka sledi odluku.

Tretirajte populacije saobraćaja odvojeno. Pulevi za daljinski pristup, prefiksi lokacija i mreže iznajmljenih linija mogu deliti jedan uređaj i dalje tražiti različita pravila, jer se njihovi identiteti i rizik razlikuju. Pravilo napisano za jednu populaciju tiho pokriva ostale kad dele adresni plan.

Proverite otkaz i upravljanje za svaki smeštaj

Svaki smeštaj ima način otkaza, a korisno pitanje je šta još radi kad komponenta stane. Nekoliko logičkih interfejsa na jednom mrtvom uređaju ne daje nezavisni oporavak, a donji firewall koji deli isto napajanje ili istog administratora nije druga granica. Pitajte kuda ide put upravljanja, jer konzola dostupna samo kroz tunel nije nikakav put za oporavak; ssh [email protected] true izvan tunela najjeftiniji je način da dokažete da konzola ne zavisi od njega. Dokumentacija grupne politike jedne platforme stavlja svoj filter na saobraćaj posle dešifrovanja i pre šifrovanja, što je upravo takva imenovana kuka koju treba tražiti u svakom proizvodu.

Napišite priču o otkazu za svakog kandidata uz priču o izvršenju. Smeštaj koji pobedi na pregledu a izgubi na oporavku je trgovina i treba biti zabeležen kao takav, a ne otkriven tokom incidenta.

Prihvatite sa dozvoljenim i zabranjenim tokom

Sa odobrenim planom testiranja proverite tri stvari iz stvarnog VPN izvora: aplikaciju koja treba da radi, resurs koji ne treba, i smer u kojem se odgovor vraća. Odbijanje je dokaz da je politika uključena, dok dozvoljeni tok samo dokazuje da put postoji.

Čuvajte izabranu rutu i rezultat politike zajedno, jer se rezultat bez rute ne može ponoviti, a ruta bez rezultata ne može odbraniti. Taj par je mnogo korisniji za izbor tačke priključenja od bilo koje tvrdnje o tome koji je sloj komutacije sam po sebi sigurniji.