Након дешифровања: која политика прва види ваш VPN саобраћај

VPN ток може бити савршено шифрован и савршено аутентификован и ипак завршити тамо где нико није планирао. Кабл који укључите не одређује које правило обрађује унутрашњи пакет; то чине кука политике и рута. Зато два дизајна која на дијаграму изгледају исто могу имати потпуно различито извршење. Одлука између њих почиње именовањем контроле која прва види дешифровани ток.

Одлучујте по куки политике, а не по порту

Свака VPN платформа процењује дешифровани саобраћај у некој тачки пре него што га проследи, а та тачка има име у конфигурацији. На једној платформи то је филтер групне политике, на другој политика интерфејса или пар зона, а на рутеру може бити само forward ланац. Кука спроводи правило, док је порт прекидача само место где кабл завршава. Проналажење куке је прва одлука, јер је све остало смештај у односу на њу.

Пре него што погледате хардвер, запишите ток: ко је извор, куда иде, који протокол га носи и која је услуга дозвољена. Затим пронађите контролу која спроводи сваку од те четири чињенице.

Два пута, две различите приче о извршењу

Два облика су честа и сваки може бити исправан за различит захтев.

endpoint -> shared inside subnet -> server
endpoint -> dedicated transit -> policy firewall -> server subnet

Први облик може спровести све што треба на гејтвеју, под условом да је политика гејтвеја написана за то одредиште и да сервер нема пут око ње. Други облик додаје границу, али само ако руте и политика стварно терају саобраћај кроз њу. Сервер на истом сегменту као крајња тачка можда никада неће следити замишљени међускок. Дијаграм показује намеру, а табела рута показује шта се догађа.

Проверавајте претрагом руте, а не цртежом. Интерфејс кроз који пакет излази и следећи скок који бира одлучују да ли други облик ради како је пројектован.

ip route get 10.30.7.20
sudo iptables -S FORWARD
sudo tcpdump -ni inside0 host 10.30.7.20

Одвојте топологију од изолације

Заједничка подмрежа не чини место непоузданим, а наменски транзит га не чини заштићеним. Одлучује стварно примењено ограничење, стварно прослеђивање и то ко управља сваким делом. Бројање прекидача не говори ништа ни о једној од те три ствари. Одлучите из политике и руте, а топологија нека следи одлуку.

Третирајте популације саобраћаја одвојено. Пулеви за даљински приступ, префикси локација и мреже изнајмљених линија могу делити један уређај и даље тражити различита правила, јер се њихови идентитети и ризик разликују. Правило написано за једну популацију тихо покрива остале кад деле адресни план.

Проверите отказ и управљање за сваки смештај

Сваки смештај има начин отказа, а корисно питање је шта још ради кад компонента стане. Неколико логичких интерфејса на једном мртвом уређају не даје независни опоравак, а доњи заштитни зид који дели исто напајање или истог администратора није друга граница. Питајте куда иде пут управљања, јер конзола доступна само кроз тунел није никакав пут за опоравак; ssh [email protected] true изван тунела најјефтинији је начин да докажете да конзола не зависи од њега. Документација групне политике једне платформе ставља свој филтер на саобраћај после дешифровања и пре шифровања, што је управо таква именована кука коју треба тражити у сваком производу.

Напишите причу о отказу за сваког кандидата уз причу о извршењу. Смештај који победи на прегледу а изгуби на опоравку је трговина и треба бити забележен као такав, а не откривен током инцидента.

Прихватите са дозвољеним и забрањеним током

Са одобреним планом тестирања проверите три ствари из стварног VPN извора: апликацију која треба да ради, ресурс који не треба, и смер у којем се одговор враћа. Одбијање је доказ да је политика укључена, док дозвољени ток само доказује да пут постоји.

Чувајте изабрану руту и резултат политике заједно, јер се резултат без руте не може поновити, а рута без резултата не може одбранити. Тај пар је много кориснији за избор тачке прикључења од било које тврдње о томе који је слој комутације сам по себи сигурнији.