Po dešifrovaní: ktorá politika uvidí váš VPN prenos ako prvá

VPN tok môže byť dokonale šifrovaný a dokonale autentizovaný a napriek tomu skončiť tam, kde to nikto neplánoval. Kábel, ktorý zapojíte, neurčuje, ktoré pravidlo spracúva vnútorný paket; určuje to háčik politiky a trasa. Preto dva návrhy, ktoré na schéme racku vyzerajú rovnako, môžu mať úplne odlišné vynútenie. Voľba medzi nimi začína pomenovaním kontroly, ktorá vidí dešifrovaný tok prvá.

Rozhodujte podľa háčika politiky, nie podľa portu

Každá platforma VPN vyhodnocuje dešifrovanú prevádzku v nejakom bode predtým, než ju prepošle, a ten bod má v konfigurácii meno. Na jednej platforme je to filter skupinovej politiky, na inej politika rozhrania alebo dvojica zón a na smerovači to môže byť jednoducho reťazec forward. Háčik vynucuje pravidlo, zatiaľ čo port prepínača je len miesto, kde končí kábel. Nájsť háčik je prvé rozhodnutie, pretože všetko ostatné je umiestnenie vo vzťahu k nemu.

Skôr než sa pozriete na hardvér, zapíšte tok: kto je zdroj, kam ide, ktorý protokol ho nesie a ktorá služba je povolená. Potom nájdite kontrolu, ktorá vynucuje každý z týchto štyroch faktov.

Dve cesty, dva rôzne príbehy vynútenia

Dva tvary sú bežné a každý môže byť správny pre inú požiadavku.

endpoint -> shared inside subnet -> server
endpoint -> dedicated transit -> policy firewall -> server subnet

Prvý tvar môže vynútiť všetko potrebné na bráne, ak je politika brány napísaná pre tento cieľ a server nemá cestu, ako ju obísť. Druhý tvar pridáva hranicu, ale len ak trasy a politika naozaj nútia prevádzku prejsť cez ňu. Server na rovnakom segmente ako koncový bod nemusí nikdy nasledovať zamýšľaný medziskok. Diagram ukazuje zámer a smerovacia tabuľka ukazuje, čo sa deje.

Overujte vyhľadaním trasy, nie kresbou. Rozhranie, ktorým paket vychádza, a ďalší skok, ktorý zvolí, rozhodujú, či sa druhý tvar správa podľa návrhu.

ip route get 10.30.7.20
sudo iptables -S FORWARD
sudo tcpdump -ni inside0 host 10.30.7.20

Oddeľte topológiu od izolácie

Spoločná podsiela nerobí miesto nedôveryhodným a vyhradený tranzit ho nerobí chráneným. Rozhoduje skutočne uplatnené obmedzenie, skutočné preposielanie a to, kto spravuje každú časť. Počítanie prepínačov nehovorí nič o žiadnej z tých troch vecí. Rozhodujte z politiky a trasy a topológia nech nasleduje rozhodnutie.

Prevádzkové populácie berte tiež oddelene. Puly vzdialeného prístupu, prefixy lokalita-lokalita a siete vyhradených liniek môžu zdieľať jedno zariadenie a napriek tomu potrebovať iné pravidlá, pretože ich identita a riziko sa líšia. Pravidlo napísané pre jednu populáciu ticho pokrýva ostatné, keď zdieľajú adresný plán.

Skontrolujte zlyhanie a správu pre každé umiestnenie

Každé umiestnenie má režim zlyhania a užitočná otázka je, čo ešte funguje, keď komponent zastane. Niekoľko logických rozhraní na jednom mŕtvom zariadení nedáva nezávislé obnovenie a nižší firewall, ktorý zdieľa rovnaké napájanie alebo rovnakého správcu, nie je druhá hranica. Pýtajte sa, kadiaľ vedie cesta správy, pretože konzola dostupná len cez tunel nie je vôbec cesta obnovy; ssh [email protected] true zvonku tunela je najlacnejší spôsob, ako dokázať, že konzola na ňom nezávisí. Dokumentácia skupinovej politiky jednej platformy kladie svoj filter na prevádzku po dešifrovaní a pred šifrovaním, čo je presne ten pomenovaný háčik, ktorý treba hľadať v každom produkte.

Napíšte príbeh zlyhania každého kandidáta vedľa príbehu vynútenia. Umiestnenie, ktoré vyhrá pri kontrole a prehrá pri obnove, je obchod a má sa zaznamenať ako taký, namiesto toho, aby sa objavil počas incidentu.

Prijmite s povoleným a zakázaným tokom

S schváleným testovacím plánom skontrolujte tri veci zo skutočného zdroja VPN: aplikáciu, ktorá má fungovať, zdroj, ktorý nemá, a smer, ktorým sa odpoveď vracia. Odmietnutie je dôkazom, že politika je zapojená, zatiaľ čo povolený tok len dokazuje, že cesta existuje.

Uchovávajte zvolenú trasu a výsledok politiky spolu, pretože výsledok bez trasy sa nedá reprodukovať a trasu bez výsledku nemožno obhájiť. Táto dvojica je pri výbere pripojovacieho bodu oveľa užitočnejšia než akékoľvek tvrdenie o tom, ktorá vrstva prepínania je sama o sebe bezpečnejšia.