Saobraćaj VPN klijenta i stanje firewall-a: vanjski i unutrašnji tok

VPN rukovanje se završi, klijent dobije adresu, a usluga iza pristupnika i dalje odbija vezu. Firewall često radi tačno ono što mu je rečeno. Dozvolio je vanjski tok tunela, koji je drugi paket od dekapsulirane aplikacijske veze. Iz toga slijede dvije odluke: koji tok dozvoljavate i prati li granica stanje uopće.

Dok to dvoje ne razdvojite, svaka promjena pravila je nagađanje.

Firewall vidi dva različita paketa

Prije dekapsulacije firewall vidi saobraćaj adresiran na VPN krajnju tačku: vanjski tok UDP prema slušaocu. Nakon dekapsulacije proslijeđeni paket nosi unutrašnju adresu klijenta i odredište usluge.

Dozvola za vanjski tok ne ovlašćuje proslijeđenu vezu TCP. One se mogu ocjenjivati u različitim lancima, na različitim interfejsima i s različitim adresama nakon prevođenja.

Uporedite snimke s ekvivalentnih pozicija na obje strane. Snimak na ivici tunela i snimak na serveru pokazuju različite torke za istu sesiju.

Prva odluka: dozvoliti tunel ili uslugu

Ako klijentu treba samo VPN krajnja tačka, vanjska dozvola može biti dovoljna. Ako mu treba usluga iza pristupnika, potrebna je dozvola za prosljeđivanje na to odredište i port. Pravilo tunela koje dozvoljava i uslugu je dizajnerska odluka koju treba imenovati, a ne slučajnost.

Držite raspon klijenta i obim usluge uskim. Dozvola od podmreže tunela prema cijeloj lokalnoj mreži je odluka da vjerujete svakom hostu, a ne prečica za jednu aplikaciju.

Zapišite oba pravila odvojeno. Pravilo tunela i pravilo usluge padaju na različite načine i otklanjaju se različitim dokazima. Kada jedno padne, znate koji sloj prvo pregledati.

Druga odluka: stanje ili bez stanja na svakoj granici

Pravilo uspostavljenog toka može propustiti odgovore za dozvoljenu razmjenu, ali njegovo ponašanje zavisi od proizvoda. Cloud sigurnosna grupa obično prati stanje; ACL podmreže često ne prati stanje i traži izričito rukovanje u oba smjera. Ne pretpostavljajte da svaka granica na putu tretira stanje na isti način. Popišite svaku granicu i označite je sa ili bez praćenja stanja prije nego što dizajnirate pravila.

Ako se pravilo promijeni, postojeći praćeni tokovi mogu nastaviti raditi dok novi padaju, ili obrnuto. Ta razlika je koristan trag, a ne razlog da ispraznite sve stanje veza na aktivnom pristupniku.

Testirajte novim kontroliranim zahtjevom i pregledajte odgovarajuće brojače. Čist test je bolji od ometajućeg resetovanja. Zapišite ime brojača u zapis o promjeni da sljedeći test koristi iste dokaze.

Provjerite povratni put pod istom politikom

Pošaljite novi zahtjev s klijenta na uslugu, pa provjerite brojače prosljeđivanja i povratka na svakoj granici. Potvrdite da odgovor koristi put koji očekujete, posebno ako je uključeno prevođenje.

Držite predviđeni raspon klijenta i obim usluge uskim i provjerite povratni put pod istim skupom pravila koje je dozvolilo zahtjev. Pravilo koje radi samo zato što je stari tok još otvoren nije pravilo koje radi.