VPN සිට VLAN දක්වා පිවිසීම: නීතිවලට පෙර න්‍යාසය සාදන්න
එක් පැත්තක භූමිකා, අනෙක් පැත්තේ සේවා. පරීක්ෂණ පහක් අපැහැදිලි VPN සිට VLAN දක්වා පිවිසුම් නිර්මාණයක් ෆයර්වෝල් හිමිකරුවෙකුට ක්‍රියාත්මක කළ හැකි වගුවක් බවට හරවයි.
ෆයර්වෝල් සින්ටැක්ස් එකෙන් නොව, න්‍යාසයෙන් පටන් ගන්න. එක් පැත්තක භූමිකා සහ අනෙක් පැත්තේ සේවා ඇති වගුවක් යෙදුම් හිමිකරුවෙකුට සමාලෝචනය කළ හැක, ආරක්ෂණ හිමිකරුවෙකුට එය ගැන වාද කළ හැක, සහ ගේට්වේ එක අතේ ඇති ඕනෑම කෙනෙකුට එය ක්‍රියාත්මක කළ හැක. කිසිවෙකු එකඟ නොවූ නීති ඩීබග් කිරීමට වඩා එම සමාලෝචනය ලාභදායී ය.
එය ලිවීමට ගත වන පැයක් පසුව සතියක නීති පුරාවිද්‍යාව ඉතිරි කරයි. නිර්මාණය කතා කරන්නේ කවුරුන් කුමන සේවාවට ළඟා වන්නේද යන්න ගැන ය, නැවත අංකනය කිරීමෙන් පසුව ඉතිරි වන කොටස එයයි.
පියවර 1: ජාලවලට පෙර භූමිකා නම් කරන්න
ස්විචයෙන් නොව, මිනිසුන්ගෙන් පටන් ගන්න. දුරස්ථව සම්බන්ධ වන සෑම කණ්ඩායමක්ම සහ එම කණ්ඩායම කරන දේ විස්තර කරන තනි වාක්‍යයක් ලියන්න, උදාහරණයක් ලෙස තොග මට්ටම් කියවන ගබඩා කාර්ය මණ්ඩලය හෝ එක් ඒකාබද්ධ කිරීමක් නඩත්තු කරන කොන්ත්‍රාත්කරුවෙක්. කණ්ඩායම් දෙකකට එකම පිවිසුම ලැබෙනවා නම්, මේ අරමුණට ඔවුන් එක් භූමිකාවකි.
භූමිකාවක් පවතින්නේ සංවිධාන සටහනක් නිසා පමණක් නම් මෙහි නවතින්න. තමන්ගේම වෙනස් සේවා අවශ්‍යතාවක් නොමැති භූමිකාවක් එකම සෛල පේළියක් බවට පත් වේ, එකම පේළි නරඹන්නෙකු පසුව පහසුව සඳහා මුළු උපජාලයක් ලබා දීමට පොළඹවයි. මිනිසුන් කරන දේ අනුව බෙදන්න, ඔවුන්ගේ වියදම් අත්සන් කරන්නේ කවුද යන්න අනුව නොව. කුඩා කාර්යාලයකට භූමිකා හයක් සාමාන්‍යයෙන් වැඩියි, තුනක් බොහෝ විට නිවැරදි ය.
පියවර 2: සෑම සෛලයක්ම සේවා ප්‍රකාශයක් බවට හරවන්න
«යෙදුම්» ලෙස ලියා ඇති සෛලයක් පරීක්ෂා කළ නොහැක. «කාර්ය මණ්ඩල තටාකයෙන් 443 හි ERP සත්කාරකයට HTTPS» ලෙස ලියා ඇති සෛලයක් පරීක්ෂා කළ හැක. සෑම ජාල නාමයක්ම ගමනාන්තයක්, ප්‍රොටෝකෝලයක් සහ වරායක් සමඟ ප්‍රතිස්ථාපනය කරන්න, පසුව සේවාව එය නොමැතිව ක්‍රියාත්මක නොවන යැපීම එකතු කරන්න, උදාහරණයක් ලෙස අභ්‍යන්තර විසඳුම්කරු හෝ අනන්‍යතා සපයන්නා.
| Check | Passes when | Stop if |
|---|---|---|
| Destination named | Host and port appear in the cell | Cell names a VLAN or a subnet |
| Direction stated | Initiator and responder are both clear | Cell implies two-way access |
| Dependency listed | DNS or identity path is explicit | Whole infrastructure range is granted |
| Negative case written | At least one denied pair is recorded | Only allow rules exist |
දිශා තීරුව වඩාත්ම මිල අධික වැරදි අල්ලා ගනී. කාර්ය මණ්ඩලයට යෙදුමක් විවෘත කිරීමට අවසරය යනු යෙදුම් සර්වර්වලට කාර්ය මණ්ඩලයේ ලැප්ටොප් වෙත ආපසු සම්බන්ධතා විවෘත කිරීමට අවසරය යන්න නොවේ, පළමු දිශාවට අවසර දෙන තත්‍ව-සහිත නීතිය බොහෝ විට දෙවැන්නට ද අවසර දෙන ලෙස කියවේ.
පියවර 3: අනන්‍යතාව ප්‍රතිපත්තියක් වන්නේ කොහේද යන්න තීරණය කරන්න
යමෙකු සත්‍යාපිත සැසියක් ගේට්වේට බලාත්මක කළ හැකි භූමිකාවක් බවට හැරවිය යුතුය. ආධාරක විකල්පවලට සත්‍යාපන පසුතලය සපයන කණ්ඩායම් ප්‍රතිපත්තිය, විශ්වාසනීය සැසි ගුණාංග, හෝ එක් එක් භූමිකාවට වෙන වෙනම ලිපින තටාක ඇතුළත් වේ. තුනම ක්‍රියා කරයි; සේවාලාභියා යවන ලේබලය ක්‍රියා නොකරයි. සංසද පෝස්ටුවක් විස්තර කරන එක නොව, ඔබේ ගේට්වේ ලේඛනගත කරන ක්‍රමවේදය තෝරන්න.
VLAN එකකට අයත් බව පෙනෙන ලිපිනයක් පමණක් ලබා දීම වෙනත් වේෂයක එකම පිළිතුරු-නැතිකම යි. OpenVPN ෆයර්වෝල් නීති පිළිබඳ Netgate මාර්ගෝපදේශය මේ වෙන් කිරීම පැහැදිලි කරයි: ටනලය ඉහළට ඒමට ඉඩ දීම එය හරහා ගමන් කිරීමට ඉඩ දීමට වඩා වෙනස් තීරණයකි.
ඔබ තෝරාගත් ක්‍රමවේදය සහ එය වින්‍යාසගත කර ඇති තැන ලියන්න. භූමිකාවක් වෙනස් වන විට, එම සටහන එක් සංස්කරණයක් සහ අතුරු මුහුණත් තුනක් හරහා සෙවීමක් අතර වෙනස යි. එය විගණකයෙකුට මුලින්ම කොහේ බැලිය යුතුද යන්න ද කියයි.
පියවර 4: ගමනාන්තය දකින මූලාශ්‍ර ලිපිනය නිරීක්ෂණය කරන්න
මායිමේදී ඉදිරියට යැවීමේ ප්‍රතිපත්තිය සැබෑ මූලාශ්‍රය සමඟ ගැලපිය යුතුය. ගේට්වේ VPN සේවාලාභීන් තමන්ගේම ලිපිනයට පරිවර්තනය කරන්නේ නම්, පහළ එක් එක් ෆයර්වෝලය එක් මූලාශ්‍රයක් දකින අතර භූමිකාව අනුව තීරණ ගැනීමේ හැකියාව අහිමි වේ. එය සේවාලාභියාගේ ලිපිනය රඳවා ගන්නේ නම්, එම තටාකයට ආපසු මාර්ගය තිබිය යුතුය.
අවසාන නීති ලිවීමට පෙර දිශා දෙකම පරීක්ෂා කරන්න, පසුව නිරීක්ෂිත මූලාශ්‍රය සෑම සෛලයක් අසලම සටහන් කරන්න. එම පරීක්ෂාවම වෙනස් භූමිකා දෙකකින් ධාවනය කර ප්‍රතිඵලය සසඳන්න. දෙකම ගේට්වේ ලිපිනය පෙන්වන්නේ නම්, භූමිකා වෙන් කිරීම දැනටමත් නැති වී ඇත. ගේට්වේ මූලාශ්‍ර පරිවර්තනය කරන අතරතුර රඳවා ගත් ලිපින උපකල්පනය කරන න්‍යාසය පළමු පහළ ACL එකේදී අසාර්ථක වේ.
පියවර 5: නිකුත් කිරීමට පෙර සෑම සෛලයක්ම පරීක්ෂා කරන්න
අවසර ලත් සෑම සෛලයක්ම එක් නියෝජිත ක්‍රියාවක් බවට ද, ප්‍රතික්ෂේපිත සෑම සෛලයක්ම ඍණාත්මක අවස්ථාවක් බවට ද හරවන්න. දෙකම සැබෑ භූමිකාවේ සේවාලාභියෙකුගෙන් ධාවනය කරන්න, ගේට්වේ කොන්සෝලයෙන් නොව, මන්ද කොන්සෝලය ඔබ පරීක්ෂා කරන මාර්ගය මඟ හරියි.
# allowed: staff role reaches the ERP endpoint
curl -sS -o /dev/null -w '%{http_code}\n' --max-time 5 https://erp.internal.example/health
# denied: the same role must not reach a management host
nc -vz -w 3 10.30.5.11 22
# observed source address at the destination
sudo tcpdump -ni any 'tcp port 443 and host 10.30.20.15'සම්බන්ධ වන ඍණාත්මක අවස්ථාවක් යනු සොයාගැනීමක් මිස අහම්බයක් නොවේ, නීතිය නිවැරදි වන තෙක් එහි ස්ථානය න්‍යාසයේ අසාර්ථක සෛලයක් ලෙස ය. පරීක්ෂණ විධාන වගුව අසල තබන්න, ඊළඟ සමාලෝචකයා තර්කනය නැවත ගොඩනැගීමට වඩා ඒවා නැවත ධාවනය කරයි.
නිම කළ වගුව එය ලියූ ගේට්වේට වඩා දිගු කල් ජීවත් වේ. නීති ෆර්ම්වෙයර් සහ සැපයුම්කරු සමඟ වෙනස් වේ, නමුත් කොන්ත්‍රාත්කරුවෙක් එක් ව්‍යාපෘති සේවාවකට ළඟා වන බව කියන පේළිය එම කාර්යය වෙනස් වන තෙක් සත්‍යව පවතී.