Narišite dešifrirano pot: kje VPN naprava uveljavlja politiko

Diagrami ponudnikov se običajno ustavijo pri šifriranem poslušalcu, ker je to del z javnim naslovom. Vprašanje, ki odloči varnostno držo, je, kaj se zgodi po dešifriranju, ko paket postane običajen IP in lahko doseže vse, kar dovoljuje usmerjevalna tabela. Če tega odseka ni nihče narisal, ga nihče ne poseduje. Spodnji priročnik ga nariše najprej in nato primerja postavitve po tem, kaj dešifrirana zahteva dejansko prečka.

Narišite paket po dešifriranju, ne pred njim

Zunanja pot je del, ki ga ponudniki dokumentirajo: javna končna točka, prometna politika, ki dopusti povezavo, in storitev, ki jo zaključi. Notranja pot se začne v trenutku, ko paket izgubi glavo tunela, in od tam jo vodijo pravila usmerjanja in filtriranja, ki nimajo nič skupnega s tunelom. Postavite obe na isto stran, ker diagram samo s prvo nakazuje, da sta sprejem in avtorizacija ena odločitev. Nista, in prav vrzel med njima je kraj, kjer se večina postavitev zmoti.

Notranji odsek zapišite kot oštevilčeno zaporedje z imenovanimi vrstami naprav, ne kot puščico. Puščica skrije, ali zahteva prečka filter, in prečkanje ali ne je celotno vprašanje. Vsak korak spodaj imenuje napravo in nabor pravil, ki tam deluje, zato se manjkajoči filter pokaže kot vrzel, ne kot nekaj, kar bi nakazovala črta.

1. Oddaljeni odjemalec: uporabniška naprava, ki ustvari tunel.
2. Robna politika: nabor pravil, ki spusti zunanji promet do javnega poslušalca.
3. Zaključna naprava: končna točka VPN, ki dekapsulira in preda paket običajnemu IP.
4. Notranji filter: nabor pravil posredovanja ali varnostnih skupin, ki omejuje promet od odjemalca do storitve.
5. Gostitelj aplikacije: storitev, ki sprejme dešifrirano zahtevo.

Dve politiki, dva lastnika

Zunanja politika odgovarja, kdo sme vzpostaviti tunel, in se izraža v pravilih, ki spustijo promet do zaključne storitve. Notranja politika odgovarja, do katere storitve sme priti preverjen uporabnik, in živi v pravilih posredovanja, varnostnih skupinah ali v sami aplikaciji. Ena naprava lahko gosti obe, in zasnova z več napravami ima še vedno obe. Prav ločeno poimenovanje omogoča, da rečete, katera je odpovedala, ko uporabnik ne doseže aplikacije.

Kontrole sprejema, kot so potrdila in večfaktorska avtentikacija, odgovarjajo na identiteto in na nič drugega. Ne odločajo o postavitvi in ne dajejo dovoljenja za posamezni vir, ko je uporabnik že znotraj.

Postavitev odloči, katero mejo zahteva prečka

Tri postavitve so običajne in vsaka spremeni, katero mejo prečka dešifrirana zahteva. Primerjajte jih po tem, kaj se tam zaključi, kaj lahko vidi čisto besedilo, katera kontrola lahko še vedno zavrne zahtevo in kaj odpove skupaj z napravo. Spodnja tabela uporablja te štiri stolpce namesto splošnega vprašanja, ker je vsak odgovor ločena oblikovalska odločitev.

Tretja postavitev je tista, ki tiho odstrani izvajanje, ker odsek na zaščitenem segmentu da napravi neposredno pot, ki je diagram morda ne pokaže. Preverite vmesnike in poti, ne slike: ip route get 10.20.5.10 sporoči, po katerem vmesniku bi paket zapustil napravo, in odgovor pogosto ni tisti, ki ga je zasnova predvidevala. Klasična vloga požarnega zidu pri nadzoru prometa med držami, kot je opisano vNIST SP 800-41, je tu koristen preizkus, ker naprava z neomejenim odsekom do zaščitenega omrežja ne nadzira veliko. Iskanje poti je bolj pošten diagram od tistega v predstavitvi.

Upravljanje sodi na svojo lastno izrecno dovoljeno pot. Dovoliti uporabnikom doseči aplikacijo nikoli ne zahteva, da jim dovolite doseči krmilni vmesnik naprave, in obe dovoljenji je treba podeliti z različnimi pravili. Preglejte obe poti ločeno, ker skupno pravilo skrije, katera je bila odprta.

Prevod spremeni, kaj lahko vidijo pravila nižje

Prevod vira je priročen in uniči informacije. Po maskeradi je vsak odjemalec videti kot naprava, zato pravilo nižje, napisano za razlikovanje uporabnikov, tega ne more več. To ni le težava dnevnikov, to je težava politike: pravilo, ključeno na naslov odjemalca, tiho postane pravilo, ključeno na prehod. Če je politika na uporabnika pomembna, ohranite vir ali uveljavite politiko pred prevodom.

Povratna pot si zasluži enak pregled. Zabeležite, katero pot izbere cilj za povratni paket, ker asimetrična vrnitev obide pregled stanja in ustvari povezavo, ki se vzpostavi in nato obtiči. Obe smeri morata prečkati mejo, ki ste jo narisali, sicer je meja okras.

sudo tcpdump -ni inside0 host 10.20.5.10
ip route get 10.20.5.10
sudo iptables -t nat -S POSTROUTING

Sprejmite dovoljeno in zavrnjeno operacijo

Preizkusite s pravega oddaljenega odjemalca, ne z upravljalnega gostitelja, ker upravljalni gostitelj običajno stoji tam, kjer uporabnik nikoli ne bo. Ena dovoljena operacija dokaže, da pot deluje, ena zavrnjena pa, da politika sploh kaj počne. Izvedite obe po vsaki spremembi postavitve in zabeležite uporabljeno identiteto vira in cilj. Preizkus, ki dokaže le uspeh, ne loči pravilnega pravila od manjkajočega.

Nato preizkusite primere, ki spremenijo stanje: ponovno povezavo, sejo, ki preživi rotacijo ključev, in odpoved same naprave. Primerjajte posodobitve, zmogljivost in obnovitev kot del iste postavitve, ker je ena naprava z več logičnimi kontrolami ena domena odpovedi z več oznakami. Tudi druga škatla ni neodvisna, ko skupna skrbniška poverilnica ali neomejena pot premaga mejo, ki naj bi jo ustvarila.

Dokumentirajte končno točko, dešifrirano pot in kontrolo, ki jo omejuje. Te tri vrstice ostanejo smiselne, kako koli se imenuje izvedba.