Kako omejiti dostop med dvema pisarnama, povezanima z VPN

Predor med lokacijama odgovori na eno vprašanje, ali si pisarni lahko izmenjujeta pakete, pomembno pa pusti odprto: katera naprava podružnice lahko doseže katero centralno storitev. Obravnavanje predora kot vzajemnega zaupanja je pot, po kateri prenosnik gosta konča na isti poti kot finančni strežnik. Rešitev ni boljši predor, ampak izrecen seznam dovoljenj, uveljavljen po dešifriranju. Ta priročnik pelje seznam od opredelitve do dokazane zavrnitve.

Delajte v tem vrstnem redu in ne širite poti predora, dokler spodnji koraki politike ne uspejo.

Napišite matriko, preden se dotaknete prehoda

Uporabna vrstica poimenuje tri stvari: skupino vira, ciljnega gostitelja ali storitveno omrežje ter protokol in vrata, ki jih aplikacija dejansko uporablja. Podružnica in podatkovni center nista vnosa. Zasebni DNS in storitve overjanja si zaslužijo lastne vrstice le, kadar aplikacija brez njih ne more delovati.

Združujte vire po vlogi in ne po priročnosti podomrežja: osebje, gostje, uprava. Ko si vsi trije delijo en raven LAN, jih prehod na omrežni ravni ne more ločiti, zato morajo nadzor identitete ali segmentacija priti prvi. Nato matriko zapišite, z lastnikom in datumom pregleda v vsaki vrstici.

Uveljavite tam, kjer se paketi dešifrirajo

Pravila, ki dovolijo IKE in ESP, zgradijo le zunanji predor. Notranji promet prispe odkrito na vmesnik predora in prav tam je mesto seznama dovoljenj: veriga posredovanja na napravi, ki dešifrira, privzeto zavrženje, eno pravilo na vrstico matrike. Na prehodih Linux to pomeni omogočeno posredovanje in filtrirna pravila na napravi predora, ne na fizični povezavi, kot pojasnjuje vodnik strongSwan za posredovanje.

Izbirniki prometa so odločitev usmerjanja, ne avtorizacije. Širok izbirnik, ki pokriva obe podomrežji, je lahko pravilen za usmerjanje, medtem ko požarni zid še vedno dovoli le TCP 443 do enega gostitelja. Izbirnik se pogaja za predor in opisuje, kaj lahko vstopi vanj, ne pa, kaj lahko uporabi določena naprava. Nikoli ne razširite pravila požarnega zidu zato, ker je izbirnik širok.

iptables -A FORWARD -i tun0 -s 10.20.0.0/24 -d 10.10.5.10 -p tcp --dport 443 -j ACCEPT
iptables -A FORWARD -i tun0 -j DROP

NAT in prekrivajoča se podomrežja spremenijo pravila

Ko prehod podružnice pred predorom prevede vsakega gostitelja v en naslov, se vsaka vrstica, ki temelji na viru, zlomi v ta en naslov. Bodisi prenehajte prevajati promet predora, bodisi sprejmite, da se morajo pravila opirati na nekaj drugega, na primer na prvotni naslov vira, zabeležen pred prevajanjem. Oddaljeni konec ima isto težavo, ker ciljni gostitelj vidi naslov po NAT in ne prvotnega.

Prekrivajoča se območja so druga past. Dveh pisarn, ki obe uporabljata 192.168.1.0/24, ni mogoče opisati v eni tabeli politike brez preslikave ene strani, preslikava pa ne nadomesti naslavljanja, ki se ne trči. Popravite načrt, preden napišete pravila, ki jih boste morali pozneje razvozlati.

Dokažite zavrnitev, ne le uspeha

Preizkušanje samo dovoljene aplikacije dokaže zelo malo, ker popustljivo pravilo nekje višje da enak rezultat.

Z običajne naprave podružnice dosezite predvideno storitev in potrdite, da celotna seja deluje. Nato poskusite cilj, ki mora ostati zaprt, na primer skrbniška vrata na strežniku, s katerim podružnica nima nič opraviti, in preberite števec ali vnos v dnevniku, ki ga je zavrgel. Izklop nabora pravil za preverjanje, ali deluje, razveljavi preizkus in pusti prehod odprt, medtem ko gledate.

Ohranjajte seznam živ

Aplikacije se selijo in pravilo, ki preživi svojo aplikacijo, postane luknja, ki je nihče ne poseduje. Datum pregleda pritrdite na vrstico in ob spremembi naslova storitve v istem koraku vzdrževanja spremenite obseg izbirnika in pravilo požarnega zidu.

Omejitve na ravni gostitelja so za predorom še vedno pomembne: požarni zid strežnika mora območje podružnice sprejeti le za storitev, ki jo objavlja. Dve usklajeni plasti je lažje revidirati kot eno, ki se ji popolnoma zaupa.