Vizatoni rrugën e dekriptuar: ku një pajisje VPN zbaton politikën
Një diagram që ndalon te dëgjuesi i kriptuar nuk tregon politikën që ka rëndësi. Vizatoni rrugën e dekriptuar dhe më pas krahasoni vendosjet sipas asaj që përshkon kërkesa.
Diagramet e furnitorëve zakonisht ndalen te dëgjuesi i kriptuar, sepse ai është pjesa me adresë publike. Pyetja që përcakton qëndrimin e sigurisë është çfarë ndodh pas dekriptimit, kur paketa bëhet IP e zakonshme dhe mund të arrijë gjithçka që lejon tabela e rrugëzimit. Nëse askush nuk e vizatoi atë pjesë, askush nuk e zotëron. Udhëzuesi më poshtë e vizaton atë fillimisht dhe më pas krahason vendosjet sipas asaj që kërkesa e dekriptuar përshkon në të vërtetë.
Vizatoni paketën pas dekriptimit, jo para
Rruga e jashtme është pjesa që dokumentojnë furnitorët: një pikë fundore publike, një politikë transporti që pranon lidhjen dhe një shërbim që e përfundon atë. Rruga e brendshme fillon në momentin kur paketa humbet kokën e tunelit, dhe prej andej drejtohet nga rregulla rrugëzimi dhe filtrimi që nuk kanë asnjë lidhje me tunelin. Vendosini të dyja në të njëjtën faqe, sepse një diagram vetëm me të parën lë të kuptohet se pranimi dhe autorizimi janë një vendim i vetëm. Nuk janë, dhe hendeku mes tyre është vendi ku shumica e vendosjeve gabojnë.
Shkruajeni pjesën e brendshme si një sekuencë të numëruar me lloje pajisjesh të emërtuara, jo si një shigjetë. Shigjeta fsheh nëse kërkesa kalon një filtër, dhe kalimi ose moskalimi është e gjithë çështja. Çdo hap më poshtë emërton pajisjen dhe grupin e rregullave që vepron atje, kështu që një filtër që mungon shfaqet si boshllëk dhe jo si diçka e nënkuptuar nga një vijë.
- Klienti në distancë: pajisja e përdoruesit që krijon tunelin.
- Politika e skajit: grupi i rregullave që pranon transportin e jashtëm te dëgjuesi publik.
- Pajisja përfundimtare: pika fundore VPN që dekapsulon dhe ia dorëzon paketën IP-së së zakonshme.
- Filtri i brendshëm: grupi i rregullave të përcaktimit ose grupeve të sigurisë që kufizon trafikun nga klienti te shërbimi.
- Pritësi i aplikacionit: shërbimi që merr kërkesën e dekriptuar.
Dy politika, dy pronarë
Politika e jashtme përgjigjet se kush mund të vendosë një tunel, dhe shprehet në rregullat që pranojnë transportin drejt shërbimit përfundimtar. Politika e brendshme përgjigjet se cilin shërbim mund të arrijë një përdorues i vërtetuar, dhe jeton në rregullat e përcaktimit, grupet e sigurisë ose vetë aplikacionin. Një pajisje e vetme mund t'i strehojë të dyja, dhe një projekt me disa pajisje i ka të dyja. Emërtimi i tyre i veçantë është ajo që ju lejon të thoni cila dështoi kur një përdorues nuk arrin një aplikacion.
Kontrollet e pranimit si certifikatat dhe vërtetimi shumëfaktor përgjigjen për identitetin dhe për asgjë tjetër. Ato nuk vendosin vendosjen dhe nuk japin leje për burim pasi përdoruesi është brenda.
Vendosja përcakton cilën kufi përshkon kërkesa
Tre vendosje janë të zakonshme, dhe secila ndryshon cilën kufi përshkon kërkesa e dekriptuar. Krahasoni ato sipas asaj që përfundon atje, çfarë mund të shohë tekstin e thjeshtë, cila kontroll mund ta refuzojë ende kërkesën dhe çfarë dështon bashkë me pajisjen. Tabela më poshtë përdor ato katër kolona në vend të një pyetjeje të përgjithshme, sepse çdo përgjigje është një vendim i veçantë projektimi.
| Placement | What terminates there | What sees plaintext | Which control can still deny | Failure domain |
|---|---|---|---|---|
| Termination in a dedicated segment | A dedicated VPN endpoint | The endpoint and anything on its segment | The filter between that segment and the application | The segment path can bypass the filter if no rule sits on it |
| Termination on the edge firewall | The firewall's public listener | The firewall, after decapsulation | The firewall's inner rule set | Admission and inspection fail together |
| Termination on the protected LAN | The appliance's LAN leg | Every host on the protected LAN | Only a host control or a downstream gateway | The appliance and the protected hosts fail together |
Vendosja e tretë është ajo që heq në heshtje zbatimin, sepse një pjesë në segmentin e mbrojtur i jep pajisjes një rrugë të drejtpërdrejtë që diagrami mund të mos e tregojë. Inspektoni ndërfaqet dhe rrugët, jo pamjen: ip route get 10.20.5.10 raporton se nëpër cilën ndërfaqe paketa do të dilte, dhe përgjigja shpesh nuk është ajo që supozoi projekti. Roli klasik i murit të zjarrit për të kontrolluar trafikun mes qëndrimeve, siç përshkruhet nëNIST SP 800-41, është një provë e dobishme këtu, sepse një pajisje me një pjesë të pakufizuar drejt rrjetit të mbrojtur nuk kontrollon shumë. Kërkimi i rrugës është një diagram më i sinqertë se ai në prezantim.
Administrimi i përket rrugës së vet të lejuar shprehimisht. Të lejosh përdoruesit të arrijnë një aplikacion nuk kërkon kurrë t'u lejosh të arrijnë ndërfaqen e kontrollit të pajisjes, dhe dy lejet duhet të jepen nga rregulla të ndryshme. Auditojini të dyja rrugët veçmas, sepse një rregull i përbashkët fsheh cila u hap.
Përkthimi ndryshon atë që mund të shohin rregullat e mëposhtme
Përkthimi i burimit është i përshtatshëm dhe shkatërron informacionin. Pas masquerade çdo klient duket si pajisja, kështu që një rregull i mëposhtëm i shkruar për të dalluar përdoruesit nuk mund ta bëjë më. Nuk është vetëm problem regjistrimi, është problem politike: një rregull i bazuar në adresën e klientit bëhet në heshtje një rregull i bazuar në portë. Nëse politika për përdorues ka rëndësi, ruani burimin ose zbatoni politikën para përkthimit.
Rruga e përgjigjes meriton të njëjtin shqyrtim. Regjistroni cilën rrugë zgjedh destinacioni për paketën e kthimit, sepse një kthim asimetrik anashkalon inspektimin me gjendje dhe prodhon një lidhje që vendoset dhe më pas ngec. Të dy drejtimet duhet të kalojnë kufirin që vizatuat, përndryshe kufiri është dekor.
sudo tcpdump -ni inside0 host 10.20.5.10
ip route get 10.20.5.10
sudo iptables -t nat -S POSTROUTINGPranoni një veprim të lejuar dhe një të refuzuar
Testoni nga klienti i vërtetë në distancë dhe jo nga një pritës administrimi, sepse pritësi i administrimit zakonisht rri atje ku përdoruesi nuk do të jetë kurrë. Një veprim i lejuar vërteton se rruga funksionon, dhe një i refuzuar vërteton se politika po bën diçka. Ekzekutoni të dyja pas çdo ndryshimi vendosjeje dhe regjistroni identitetin e burimit dhe destinacionin që përdorët. Një provë që vërteton vetëm suksesin nuk mund të dallojë një rregull të saktë nga një që mungon.
Më pas testoni rastet që ndryshojnë gjendjen: një rilidhje, një sesion që mbijeton një rrotullim çelësi dhe një dështim i vetë pajisjes. Krahasoni përditësimet, kapacitetin dhe rikuperimin si pjesë e të njëjtit plan, sepse një pajisje që mban disa kontrolle logjike është një domen i vetëm dështimi me disa etiketa. As kutia e dytë nuk është e pavarur kur një kredencial administrativ i përbashkët ose një rrugë e pakufizuar mposht kufirin që duhej të krijonte.
Dokumentoni pikën fundore, rrugën e dekriptuar dhe kontrollin që e kufizon. Ato tre rreshta mbeten kuptimplotë siç quhet implementimi.