Prevádzka klienta VPN a stav firewallu: vonkajší a vnútorný tok

Handshake VPN sa dokončí, klient dostane adresu a služba za bránou spojenie stále odmieta. Firewall často robí presne to, čo mu bolo povedané. Povolil vonkajší tok tunela, čo je iný paket ako dekapsulované spojenie aplikácie. Z toho vyplývajú dve rozhodnutia: ktorý tok povoľujete a či hranica vôbec sleduje stav.

Kým tie dve veci neoddelíte, každá zmena pravidla je odhad.

Firewall vidí dva rôzne pakety

Pred dekapsuláciou firewall vidí prevádzku adresovanú koncovému bodu VPN: vonkajší tok UDP k poslucháčovi. Po dekapsulácii preposielaný paket nesie vnútornú adresu klienta a cieľ služby.

Povolenie vonkajšieho toku neoprávňuje preposielané spojenie TCP. Môžu sa vyhodnocovať v rôznych reťazcoch, voči rôznym rozhraniam a s rôznymi adresami po preklade.

Porovnajte zachytenia z rovnocenných pozícií na oboch stranách. Zachytenie na okraji tunela a zachytenie na serveri ukazujú rôzne tuply pre tú istú reláciu.

Prvé rozhodnutie: povoliť tunel alebo službu

Ak klient potrebuje len samotný koncový bod VPN, vonkajšie povolenie môže stačiť. Ak potrebuje službu za bránou, potrebujete povolenie preposielania pre daný cieľ a port. Pravidlo tunela, ktoré povoľuje aj službu, je návrhové rozhodnutie, ktoré by ste mali pomenovať, nie náhoda.

Udržujte rozsah klienta a rozsah služby úzke. Povolenie z podsiete tunela do celej lokálnej siete je rozhodnutie dôverovať každému hostiteľovi, nie skratka pre jednu aplikáciu.

Napíšte obe pravidlá zvlášť. Pravidlo tunela a pravidlo služby zlyhávajú rôznymi spôsobmi a ladia sa rôznymi dôkazmi. Keď jedno zlyhá, viete, ktorú vrstvu preskúmať najprv.

Druhé rozhodnutie: so stavom alebo bez stavu na každej hranici

Pravidlo pre ustálený tok môže prepustiť odpovede pre povolenú výmenu, ale jeho správanie závisí od produktu. Cloudová bezpečnostná skupina zvyčajne sleduje stav; zoznam riadenia prístupu podsiete ho často nesleduje a vyžaduje výslovné spracovanie v oboch smeroch. Nepredpokladajte, že každá hranica na ceste pristupuje k stavu rovnako. Vymenujte každú hranicu a označte ju so stavom alebo bez neho, než pravidlá navrhnete.

Ak sa pravidlo zmení, existujúce sledované toky môžu ďalej fungovať, zatiaľ čo nové zlyhávajú, alebo naopak. Ten rozdiel je užitočná stopa, nie dôvod vyprázdniť celý stav spojení na živej bráne.

Testujte novou riadenou požiadavkou a preskúmajte príslušné počítadlá. Čistý test je lepší ako rušivý reset. Zapíšte názov počítadla do záznamu o zmene, aby ďalší test použil rovnaké dôkazy.

Overte spiatočnú cestu za rovnakej politiky

Pošlite novú požiadavku z klienta na službu a potom skontrolujte počítadlá dopredu a späť na každej hranici. Potvrďte, že odpoveď používa cestu, ktorú očakávate, najmä ak je zapojený preklad.

Udržujte zamýšľaný rozsah klienta a rozsah služby úzke a overte spiatočnú cestu za rovnakej sady pravidiel, ktorá požiadavku povolila. Pravidlo, ktoré funguje len preto, že starý tok je stále otvorený, nie je funkčné pravidlo.