Šifrovaný tranzit nedáva prístup k operátorovi

Dve schválené brány prenášajú prevádzku siete s nižšou dôverou cez obmedzenú transportnú sieť. Šifrovanie užitočného zaťaženia ho udržiava nečitateľné pre bežných pozorovateľov tranzitu, a to je časť, ktorú ľudia navrhujú ako prvú a potom o nej prestanú premýšľať. Čo šifrovanie nerobí, je určenie, ku ktorým zdrojom smie strana s nižšou dôverou pristupovať. Návrh potrebuje dve hranice: jednu okolo prenášanej konverzácie a jednu okolo prístupu k samotnému operátorovi.

Vykonajte nižšie uvedené kroky v poradí a každé zlyhanie v ktoromkoľvek kroku berte ako zmenu návrhu, nie ako úpravu konfigurácie.

Definujte obe hranice, skôr než sa dotknete konfigurácie

Prvá hranica je konverzácia: ktoré dvojice brán môžu vytvoriť tunel a ktorá vnútorná prevádzka cez neho smie prejsť. Druhá je operátor: ku ktorým adresám a službám môžu hostitelia s nižšou dôverou dosiahnuť mimo tunela. Tímy zvyčajne stavajú prvú a druhú dedia z akéhokoľvek smerovania, ktoré už existovalo, a tak sa obmedzený návrh ticho stane širokým. Toto dedičstvo je zvyčajnou hlavnou príčinou, keď revízia zistí, že hostiteľ s nižšou dôverou hovorí s niečím, čo nikto neschválil.

Zapíšte obe ako zoznamy adries, portov a smerov. Ak sa zoznam nedá zapísať, hranica ešte nie je definovaná.

Krok 1: obmedzte vonkajší tunel

Na rozhraní obrátenom k operátorovi povoľte len to, čo tunel potrebuje: IKE na UDP 500 a 4500 medzi dvoma adresami brán a ESP tam, kde sa nepoužíva priechod NAT. Odmietajte všetko ostatné, čo na toto rozhranie prichádza, vrátane riadiacich protokolov. Špecifikácia ESP pokrýva ochranné služby; nič nehovorí o tom, ktoré vlastné služby operátora smú brány používať. Vyjadrite to ako explicitný zoznam povolení, aby novozverejnená služba operátora nebola štandardne dostupná.

Toto je sada pravidiel, ktorá z návrhu robí tranzitný návrh, a nie usporiadanie peeringu.

Overte to zo strany s nižšou dôverou, nie z konzoly brány. Hostiteľ tam by nemal dosiahnuť na server DNS operátora ešte predtým, než je tunel zdvihnutý.

Krok 2: rozhodnite, čo doručuje vzdialená brána

Na vzdialenom konci musí obnovená prevádzka ísť na konkrétne miesto. Definujte, ktoré vnútorné služby sú povolené, z ktorých rozsahov zdrojov a či sa očakávajú symetrické odpovede. Prejdite správu prístupu osobitne, pretože tá istá brána často vystavuje administratívne rozhranie, ktoré nikdy nebolo súčasťou tranzitného plánu.

Diagram, ktorý sa končí pri úspešnom dešifrovaní, vynechal rozhodnutie, na ktorom záleží najviac.

Krok 3: zachovajte vlastníctvo po vrstvách

Tranzitné zariadenie stále prijíma a preposiela vonkajšie pakety, takže potrebuje záplaty a plánovanie kapacity. Koncové body tunela spracúvajú chránený protokol a vystavujú vnútornú prevádzku svojej preposielacej ceste, takže potrebujú vlastné pravidlá a vlastné monitorovanie. Koncové aplikácie spracúvajú užitočné zaťaženie a nepriehľadné zaťaženie nie je dôkazom, že dešifrované sťahovanie je neškodné.

Priraďte vlastníka každej vrstve. Vrstvy bez vlastníka sú tie, ktoré sa rozchádzajú.

Krok 4: overte a potom to odovzdajte orgánu

Overte vonkajšiu cestu so zdvihnutým tunelom a pravidlami operátora na mieste. Potom vyskúšajte každý zdroj, ku ktorému by strana s nižšou dôverou nemala dosiahnuť, a potvrďte, že zlyhanie je odmietnutie, a nie časový limit, ktorý skrýva trasu. Skontrolujte aj dostupnosť a limity zdrojov, pretože aj šifrované spojenie sa dá nasýtiť.

Pre regulované alebo klasifikované prostredia vezmite návrh k zodpovednému bezpečnostnému orgánu a použite jeho schválenú architektúru oddelenia. Konfigurácia VPN a koncepčné vysvetlenie akreditáciu nezakladajú. Tento krok nie je papierovačka; rozhoduje o tom, či návrh vôbec smie existovať.