Si të kufizohet aksesi midis dy zyrave të lidhura me VPN
Një tunel nga sajti në sajt nuk është besim i ndërsjellë. Ndërtoni një matricë burimi, destinacioni dhe shërbimi, zbatoni atë në trafikun e dekriptuar dhe provoni edhe një refuzim.
Një tunel nga sajti në sajt përgjigjet një pyetjeje, nëse dy zyrat mund të shkëmbejnë paketa, dhe lë të hapur atë të rëndësishmen: cila pajisje e degës mund të arrijë cilën shërbim qendror. Trajtimi i tunelit si besim i ndërsjellë është mënyra se si një laptop mysafiri përfundon në të njëjtën rrugë si serveri financiar. Zgjidhja nuk është një tunel më i mirë, por një listë e qartë lejimesh e zbatuar pas dekriptimit. Ky udhëzues e çon listën nga përkufizimi në një refuzim të provuar.
Punoni në këtë rend dhe mos e zgjeroni rrugën e tunelit derisa hapat e politikës më poshtë të kalojnë.
Shkruani matricën para se të prekni portalin
Një rresht i dobishëm përmend tre gjëra: një grup burimi, një host ose rrjet shërbimi destinacioni, dhe protokollin e portin që aplikacioni përdor në të vërtetë. Dega dhe qendra e të dhënave nuk janë hyrje. DNS privat dhe shërbimet e vërtetimit meritojnë rreshta të vetëm vetëm kur aplikacioni nuk mund të funksionojë pa to.
Gruponi burimet sipas rolit dhe jo sipas lehtësisë së nënrrjetit: staf, mysafirë, administrim. Kur të tre ndajnë një LAN të sheshtë, portali nuk mund t'i dallojë në shtresën e rrjetit, ndaj kontrollet e identitetit ose segmentimi duhet të vijnë të parët. Pastaj vendosni matricën me shkrim, me një pronar dhe një datë rishikimi në çdo rresht.
| Burimi | Destinacioni | Shërbimi | Vendimi |
|---|---|---|---|
| stafi i degës | aplikacioni i rezervimeve 10.10.5.10 | TCP 443 | lejo në portalin që dekripton |
| stafi i degës | VLAN i administrimit të serverëve | çdo | refuzim i nënkuptuar |
| Wi-Fi për mysafirë | çdo interval qendror | çdo | refuzo para tunelit |
| host kërcimi administrativ | VLAN i serverëve | TCP 22 dhe 3389 | lejo me MFA, firewali i hostit ngushton më tej |
Zbatojeni aty ku dekriptohen paketat
Rregullat që lejojnë IKE dhe ESP ndërtojnë vetëm tunelin e jashtëm. Trafiku i brendshëm vjen hapur në ndërfaqen e tunelit, dhe pikërisht aty është vendi i listës së lejeve: një zinxhir përcjelljeje në pajisjen që dekripton, hedhje e parazgjedhur, një rregull për çdo rresht të matricës. Në portalet Linux kjo do të thotë përcjellje e aktivizuar dhe rregulla filtri në pajisjen e tunelit, jo në lidhjen fizike, siç shpjegon udhëzuesi i përcjelljes i strongSwan.
Përzgjedhësit e trafikut janë një vendim rrugëtimi, jo një vendim autorizimi. Një përzgjedhës i gjerë që mbulon të dy nënrrjetet mund të jetë i saktë për rrugëtimin ndërsa firewali ende lejon vetëm TCP 443 drejt një hosti. Përzgjedhësi negociohet për tunelin dhe përshkruan çfarë mund të hyjë në të, jo çfarë mund të përdorë një pajisje e caktuar. Kurrë mos e zgjeroni një rregull firewali sepse përzgjedhësi është i gjerë.
iptables -A FORWARD -i tun0 -s 10.20.0.0/24 -d 10.10.5.10 -p tcp --dport 443 -j ACCEPT
iptables -A FORWARD -i tun0 -j DROPNAT dhe nënrrjetet e mbivendosura ndryshojnë rregullat
Kur portali i degës përkthen çdo host në një adresë të vetme para tunelit, çdo rresht i bazuar në burim shembet në atë adresë të vetme. Ose ndaloni përkthimin e trafikut të tunelit, ose pranoni që rregullat duhet të mbështeten në diçka tjetër, si adresa origjinale e burimit e regjistruar para përkthimit. Fundi i largët ka të njëjtin problem, sepse hosti i destinacionit sheh adresën pas NAT dhe jo atë origjinale.
Intervalet e mbivendosura janë kurthi tjetër. Dy zyra që përdorin të dyja 192.168.1.0/24 nuk mund të përshkruhen në një tabelë të vetme politike pa hartuar njërën anë, dhe hartimi nuk zëvendëson adresimin që nuk përplaset. Rregulloni planin para se të shkruani rregulla që do t'ju duhet t'i zbërtheni më vonë.
Provoni një refuzim, jo vetëm një sukses
Testimi vetëm i aplikacionit të lejuar provon shumë pak, sepse një rregull lejues diku më lart jep të njëjtin rezultat.
Nga një pajisje e zakonshme e degës, arrini shërbimin e synuar dhe konfirmoni se e gjithë sesioni funksionon. Më pas provoni një destinacion që duhet të mbetet i mbyllur, si një port administrativ në një server me të cilin dega nuk ka asnjë punë, dhe lexoni numëruesin ose hyrjen e regjistrit që e hodhi. Çaktivizimi i grupit të rregullave për të kontrolluar nëse funksionon e anulon testin dhe e lë portalin hapur ndërsa shikoni.
Mbajeni listën gjallë
Aplikacionet lëvizin, dhe një rregull që i mbijeton aplikacionit të vet bëhet një vrimë që askush nuk e zotëron. Lidhni datën e rishikimit me rreshtin dhe ndryshoni shtrirjen e përzgjedhësit dhe rregullin e firewalit në të njëjtin hap mirëmbajtjeje kur një shërbim ndryshon adresë.
Kufizimet në nivel hosti kanë ende rëndësi pas tunelit: firewali i vetë serverit duhet të pranojë intervalin e degës vetëm për shërbimin që publikon. Dy shtresa që përputhen janë më të lehta për t'u audituar sesa një shtresë që i besohet plotësisht.