Pas dekriptimit: cila politikë e sheh i pari trafikun tuaj VPN

Një rrjedhë VPN mund të jetë plotësisht e kriptuar dhe plotësisht e vërtetuar dhe prapë të përfundojë diku që askush nuk e kishte planifikuar. Kablloja që fut nuk përcakton cili rregull përpunon paketën e brendshme; këtë e bëjnë grepa e politikës dhe rruga. Prandaj dy dizajne që duken njësoj në një diagram rafti mund të kenë zbatim krejt të ndryshëm. Zgjedhja mes tyre fillon me emërtimin e kontrollit që e sheh i pari rrjedhën e dekriptuar.

Vendosni sipas grepës së politikës, jo sipas portës

Çdo platformë VPN vlerëson trafikun e dekriptuar në një pikë përpara se ta përcjellë, dhe ajo pikë ka një emër në konfigurim. Në një platformë është filtër i politikës së grupit, në një tjetër politikë ndërfaqeje ose çift zonash, dhe në një pajisje që bën rrugëtim mund të jetë thjesht zinxhiri forward. Grepa zbaton rregullin, ndërsa porta e komutatorit është vetëm vendi ku mbaron kablloja. Gjetja e grepës është vendimi i parë, sepse gjithçka tjetër është vendosje në raport me të.

Përpara se të shikoni harduerin, shkruani rrjedhën: kush është burimi, ku shkon, cili protokoll e mbart dhe cila shërbim lejohet. Më pas gjeni kontrollin që zbaton secilin prej këtyre katër fakteve.

Dy rrugë, dy histori të ndryshme zbatimi

Dy forma janë të zakonshme dhe secila mund të jetë e saktë për një kërkesë tjetër.

endpoint -> shared inside subnet -> server
endpoint -> dedicated transit -> policy firewall -> server subnet

Forma e parë mund të zbatojë gjithçka të nevojshme në portë, me kusht që politika të jetë shkruar për atë destinacion dhe serveri të mos ketë rrugë anash. Forma e dytë shton një kufi, por vetëm nëse rrugët dhe politika e kalojnë trafikun në të vërtetë. Një server në të njëjtin segment me pikën fundore mund të mos ndjekë kurrë hapin e ndërmjetëm të imagjinuar. Diagrami tregon qëllimin dhe tabela e rrugëve tregon çfarë ndodh.

Verifikoni me një kërkim rruge dhe jo me vizatimin. Ndërfaqja nga e cila del paketa dhe hapi tjetër që zgjedh përcaktojnë nëse forma e dytë sillet siç është projektuar.

ip route get 10.30.7.20
sudo iptables -S FORWARD
sudo tcpdump -ni inside0 host 10.30.7.20

Ndani topologjinë nga izolimi

Ndarja e një nënrrjeti nuk e bën një vend të pabesueshëm dhe një transit i dedikuar nuk e bën të mbrojtur. Vendos kufizimi i zbatuar në të vërtetë, përcjellja që ndodh në të vërtetë dhe kush administron secilën pjesë. Numërimi i komutatorëve nuk thotë asgjë për asnjërën nga të treja. Vendosni nga politika dhe rruga, dhe topologjia le të ndjekë vendimin.

Trajtoni veçmas edhe popullatat e trafikut. Pishinat e aksesit në distancë, prefikset vend-vend dhe rrjetet e linjave private mund të ndajnë një pajisje dhe prapë të kërkojnë rregulla të ndryshme, sepse identiteti dhe rreziku i tyre ndryshojnë. Një rregull i shkruar për një popullatë mbulon në heshtje të tjerat kur ato ndajnë një plan adresash.

Kontrolloni dështimin dhe administrimin për çdo vendosje

Çdo vendosje ka një mënyrë dështimi, dhe pyetja e dobishme është çfarë vazhdon të funksionojë kur një komponent ndalon. Disa ndërfaqe logjike në një pajisje të vdekur nuk japin rikuperim të pavarur, dhe një mur zjarri në rrjedhën e poshtme që ndan të njëjtin furnizim ose të njëjtin administrator nuk është kufi i dytë. Pyesni nga kalon rruga e administrimit, sepse një konsolë e arritshme vetëm përmes tunelit nuk është aspak rrugë rikuperimi; ssh [email protected] true nga jashtë tunelit është mënyra më e lirë për të provuar se konsola nuk varet prej tij. Dokumentacioni i politikës së grupit i një platforme e vendos filtrin e tij mbi trafikun pas dekriptimit dhe përpara kriptimit, që është pikërisht lloji i grepës së emërtuar që duhet kërkuar në çdo produkt.

Shkruani historinë e dështimit të çdo kandidati pranë historisë së zbatimit. Një vendosje që fiton në inspektim dhe humbet në rikuperim është një shkëmbim, dhe duhet regjistruar si i tillë në vend që të zbulohet gjatë një incidenti.

Prano me një rrjedhë të lejuar dhe një të refuzuar

Me një plan testimi të miratuar, kontrolloni tre gjëra nga burimi i vërtetë i VPN: një aplikacion që duhet të funksionojë, një burim që nuk duhet, dhe drejtimin nga i cili kthehet përgjigjja. Refuzimi është prova se politika është e angazhuar, ndërsa rrjedha e lejuar provon vetëm se ekziston një rrugë.

Ruani së bashku rrugën e zgjedhur dhe rezultatin e politikës, sepse një rezultat pa rrugë nuk riprodhohet dhe një rrugë pa rezultat nuk mbrohet. Ai çift është shumë më i dobishëm për zgjedhjen e një pike lidhjeje sesa çdo pohim se cila shtresë komutimi është në vetvete më e sigurt.