Ako obmedziť prístup medzi dvoma pobočkami prepojenými cez VPN

Tunel medzi lokalitami odpovedá na jednu otázku, či si obe pobočky môžu vymieňať pakety, a tú dôležitú necháva otvorenú: ktoré zariadenie pobočky smie dosiahnuť ktorú centrálnu službu. Považovať tunel za vzájomnú dôveru je spôsob, akým sa hosťovský notebook ocitne na tej istej ceste ako finančný server. Riešením nie je lepší tunel, ale výslovný zoznam povolení uplatnený po dešifrovaní. Táto príručka vedie tento zoznam od definície k preukázanému odmietnutiu.

Pracujte v tomto poradí a nerozširujte trasu tunela, kým nižšie uvedené kroky politiky neprejdú.

Napíšte maticu skôr, než sa dotknete brány

Užitočný riadok pomenúva tri veci: skupinu zdroja, cieľového hostiteľa alebo servisnú sieť a protokol a port, ktoré aplikácia skutočne používa. Pobočka a dátové centrum nie sú položky. Privátny DNS a autentifikačné služby si zaslúžia vlastné riadky len vtedy, keď aplikácia bez nich nemôže fungovať.

Zoskupujte zdroje podľa roly, nie podľa pohodlia podsiete: zamestnanci, hostia, správa. Keď všetky tri zdieľajú jednu plochú LAN, brána ich na sieťovej vrstve nerozlíši, takže riadenie identity alebo segmentácia musia prísť prvé. Potom maticu zapíšte, s vlastníkom a dátumom revízie v každom riadku.

Uplatňujte to tam, kde sa pakety dešifrujú

Pravidlá, ktoré povoľujú IKE a ESP, stavajú len vonkajší tunel. Vnútorná prevádzka prichádza otvorene na rozhranie tunela a práve tam patrí zoznam povolení: reťazec preposielania na dešifrujúcom zariadení, predvolené zahadzovanie, jedno pravidlo na riadok matice. Na linuxových bránach to znamená zapnuté preposielanie a filtračné pravidlá na zariadení tunela, nie na fyzickom uplinku, ako vysvetľuje sprievodca preposielaním strongSwan.

Selektory prevádzky sú rozhodnutie smerovania, nie autorizácie. Široký selektor pokrývajúci obe podsiete môže byť správny pre smerovanie, zatiaľ čo firewall stále povoľuje iba TCP 443 k jednému hostiteľovi. Selektor sa dojednáva pre tunel a opisuje, čo doň smie vstúpiť, nie čo smie používať dané zariadenie. Nikdy nerozširujte pravidlo firewallu preto, že selektor je široký.

iptables -A FORWARD -i tun0 -s 10.20.0.0/24 -d 10.10.5.10 -p tcp --dport 443 -j ACCEPT
iptables -A FORWARD -i tun0 -j DROP

NAT a prekrývajúce sa podsiete menia pravidlá

Keď brána pobočky preloží každého hostiteľa na jednu adresu pred tunelom, každý riadok založený na zdroji sa zrúti do tej jednej adresy. Buď prestaňte prekladať prevádzku tunela, alebo prijmite, že pravidlá musia stáť na niečom inom, napríklad na pôvodnej zdrojovej adrese zaznamenanej pred prekladom. Vzdialený koniec má rovnaký problém, pretože cieľový hostiteľ vidí adresu po NAT a nie pôvodnú.

Prekrývajúce sa rozsahy sú druhá pasca. Dve pobočky, ktoré obe používajú 192.168.1.0/24, nemožno opísať v jednej tabuľke politiky bez mapovania jednej strany, a mapovanie nenahrádza adresovanie, ktoré sa nezráža. Opravte plán skôr, než napíšete pravidlá, ktoré budete musieť neskôr rozmotať.

Dokážte odmietnutie, nie len úspech

Testovanie iba povolenej aplikácie dokazuje veľmi málo, pretože povoľujúce pravidlo niekde vyššie dáva rovnaký výsledok.

Z bežného zariadenia pobočky dosiahnite zamýšľanú službu a potvrďte, že celá relácia funguje. Potom skúste cieľ, ktorý musí zostať zatvorený, napríklad administratívny port na serveri, s ktorým pobočka nemá nič spoločné, a prečítajte počítadlo alebo záznam v logu, ktorý ho zahodil. Vypnutie sady pravidiel na overenie, či funguje, zneplatní test a nechá bránu otvorenú, kým sa pozeráte.

Udržujte zoznam nažive

Aplikácie sa presúvajú a pravidlo, ktoré prežije svoju aplikáciu, sa stane dierou, ktorú nikto nevlastní. Pripevnite dátum revízie k riadku a pri zmene adresy služby zmeňte rozsah selektora aj pravidlo firewallu v tom istom kroku údržby.

Obmedzenia na úrovni hostiteľa sú za tunelom stále dôležité: vlastný firewall servera má prijímať rozsah pobočky len pre službu, ktorú zverejňuje. Dve vrstvy, ktoré si zodpovedajú, sa auditujú ľahšie než jedna vrstva, ktorej sa plne verí.