Po dešifriranju: katera politika prva vidi vaš VPN promet

Tok VPN je lahko popolnoma šifriran in popolnoma overjen, pa vseeno konča tam, kjer tega ni nihče načrtoval. Kabel, ki ga vstavite, ne določa, katero pravilo obdela notranji paket; to določata kavelj politike in pot. Zato imata lahko dva dizajna, ki sta na shemi omarice videti enaka, povsem različno izvajanje. Izbira med njima se začne s poimenovanjem kontrole, ki prva vidi dešifrirani tok.

Odločajte se po kavlju politike, ne po vratih

Vsaka platforma VPN ocenjuje dešifrirani promet na neki točki, preden ga posreduje, in ta točka ima ime v konfiguraciji. Na eni platformi je to filter skupinske politike, na drugi politika vmesnika ali par con, na usmerjevalniku pa je lahko preprosto veriga forward. Kavelj uveljavlja pravilo, medtem ko je vrata stikala le mesto, kjer se kabel konča. Najti kavelj je prva odločitev, ker je vse ostalo postavitev glede na njega.

Preden pogledate strojno opremo, zapišite tok: kdo je vir, kam gre, kateri protokol ga prenaša in katera storitev je dovoljena. Nato poiščite kontrolo, ki uveljavlja vsako od teh štirih dejstev.

Dve poti, dve različni zgodbi o izvajanju

Dve obliki sta pogosti in vsaka je lahko pravilna za drugačno zahtevo.

endpoint -> shared inside subnet -> server
endpoint -> dedicated transit -> policy firewall -> server subnet

Prva oblika lahko uveljavi vse potrebno na prehodu, če je politika prehoda napisana za ta cilj in strežnik nima poti okoli nje. Druga oblika doda mejo, a le če poti in politika res pošiljata promet skozi njo. Strežnik v istem segmentu kot končna točka morda nikoli ne sledi zamišljenemu vmesnemu skoku. Shema prikazuje namero, usmerjevalna tabela pa, kaj se zgodi.

Preverjajte z iskanjem poti, ne z risbo. Vmesnik, skozi katerega paket odide, in naslednji skok, ki ga izbere, odločata, ali se druga oblika obnaša po načrtu.

ip route get 10.30.7.20
sudo iptables -S FORWARD
sudo tcpdump -ni inside0 host 10.30.7.20

Ločite topologijo od izolacije

Skupna podomrežja ne naredijo mesta nezanesljivega, namenski tranzit pa ga ne naredi zaščitenega. Odloča dejansko uporabljena omejitev, dejansko posredovanje in to, kdo upravlja vsak del. Štetje stikal ne pove ničesar o nobeni od treh stvari. Odločite se iz politike in poti, topologija pa naj sledi odločitvi.

Tudi prometne populacije obravnavajte ločeno. Skupine oddaljenega dostopa, predpone od lokacije do lokacije in omrežja najetih vodov lahko delijo eno napravo in vseeno potrebujejo drugačna pravila, ker se njihova identiteta in tveganje razlikujeta. Pravilo, napisano za eno populacijo, tiho pokrije druge, ko si delijo načrt naslovov.

Preverite odpoved in upravljanje za vsako postavitev

Vsaka postavitev ima način odpovedi, uporabno vprašanje pa je, kaj še deluje, ko komponenta obstane. Več logičnih vmesnikov na eni sami mrtvi napravi ne daje neodvisnega obnovitve, požarni zid nižje, ki si deli isto napajanje ali istega skrbnika, pa ni druga meja. Vprašajte, kje poteka pot upravljanja, ker konzola, dosegljiva samo skozi tunel, ni nobena pot za obnovitev; ssh [email protected] true od zunaj tunela je najcenejši način dokazati, da konzola ni odvisna od njega. Dokumentacija skupinske politike ene platforme postavi svoj filter na promet po dešifriranju in pred šifriranjem, kar je natanko tak poimenovan kavelj, ki ga velja iskati v vsakem izdelku.

Napišite zgodbo odpovedi vsakega kandidata ob zgodbi izvajanja. Postavitev, ki zmaga pri pregledu in izgubi pri obnovitvi, je menjava in tako jo je treba zabeležiti, namesto da bi jo odkrili med incidentom.

Sprejmite z dovoljenim in prepovedanim tokom

Z odobrenim načrtom testiranja preverite tri stvari iz pravega vira VPN: aplikacijo, ki bi morala delovati, vir, ki ne bi smel, in smer, v kateri se odgovor vrača. Zavrnitev je dokaz, da je politika vključena, dovoljeni tok pa dokazuje le, da pot obstaja.

Ohranite izbrano pot in rezultat politike skupaj, ker rezultata brez poti ni mogoče ponoviti, poti brez rezultata pa ni mogoče braniti. Ta par je pri izbiri priključne točke veliko bolj uporaben kot katera koli trditev o tem, katera plast stikanja je sama po sebi varnejša.