Нацртајте дешифровану путању: где VPN уређај примењује политику
Дијаграм који се зауставља на шифрованом слушаоцу не приказује политику која је важна. Нацртајте дешифровану путању и упоредите размештаје по ономе што захтев прелази.
Дијаграми добављача обично се заустављају на шифрованом слушаоцу, јер то је део са јавном адресом. Питање које одређује безбедносни став јесте шта се дешава после дешифровања, када пакет постане обичан IP и може да достигне све што табела рутирања дозвољава. Ако нико није нацртао тај део, нико га не поседује. Упутство испод прво га црта, а затим упоређује размештаје по ономе што дешифровани захтев заиста прелази.
Нацртајте пакет после дешифровања, не пре
Спољни пут је део који добављачи документују: јавна крајња тачка, транспортна политика која прихвата везу и услуга која је завршава. Унутрашњи пут почиње у тренутку када пакет изгуби заглавље тунела, и одатле га воде правила рутирања и филтрирања која немају никакве везе са тунелом. Ставите обоје на исту страницу, јер дијаграм само са првим наговештава да су пријем и ауторизација једна одлука. Нису, и управо јаз између њих је место где већина размештаја погреши.
Унутрашњи део напишите као нумерисану секвенцу са именованим типовима уређаја, а не као стрелицу. Стрелица крије да ли захтев прелази филтер, а прелазак или не је цело питање. Сваки корак испод именује уређај и скуп правила који тамо делује, тако да филтер који недостаје изгледа као празнина, а не као нешто наговештено линијом.
- Удаљени клијент: кориснички уређај који ствара тунел.
- Ивична политика: скуп правила који прихвата спољни транспорт до јавног слушаоца.
- Завршни уређај: VPN крајња тачка која декапсулира и предаје пакет обичном IP-у.
- Унутрашњи филтер: скуп правила прослеђивања или безбедносних група који ограничава саобраћај од клијента до услуге.
- Домаћин апликације: услуга која прима дешифровани захтев.
Две политике, два власника
Спољна политика одговара ко сме да успостави тунел и изражава се у правилима која прихватају транспорт до завршне услуге. Унутрашња политика одговара до које услуге сме да стигне аутентификовани корисник и живи у правилима прослеђивања, безбедносним групама или самој апликацији. Један уређај може да угости обе, а пројекат са више уређаја и даље има обе. Управо њихово одвојено именовање вам омогућава да кажете која је отказала када корисник не стигне до апликације.
Контроле пријема као што су сертификати и вишефакторска аутентикација одговарају на идентитет и ни на шта друго. Оне не одређују размештај и не дају дозволу по ресурсу када је корисник унутра.
Размештај одређује коју границу захтев прелази
Три размештаја су уобичајена и сваки мења коју границу прелази дешифровани захтев. Упоредите их по ономе што се тамо завршава, што може да види чисти текст, која контрола још може да одбије захтев и шта пада заједно са уређајем. Табела испод користи те четири колоне уместо општег питања, јер је сваки одговор посебна пројектна одлука.
| Placement | What terminates there | What sees plaintext | Which control can still deny | Failure domain |
|---|---|---|---|---|
| Termination in a dedicated segment | A dedicated VPN endpoint | The endpoint and anything on its segment | The filter between that segment and the application | The segment path can bypass the filter if no rule sits on it |
| Termination on the edge firewall | The firewall's public listener | The firewall, after decapsulation | The firewall's inner rule set | Admission and inspection fail together |
| Termination on the protected LAN | The appliance's LAN leg | Every host on the protected LAN | Only a host control or a downstream gateway | The appliance and the protected hosts fail together |
Трећи размештај је онај који тихо уклања спровођење, јер део на заштићеном сегменту даје уређају директан пут који дијаграм можда не приказује. Проверите интерфејсе и руте, а не слику: ip route get 10.20.5.10 извештава кроз који интерфејс би пакет изашао, а одговор често није онај који је пројекат претпоставио. Класична улога заштитног зида да контролише саобраћај између ставова, како је описано уNIST SP 800-41, корисна је провера овде, јер уређај са неограниченим делом ка заштићеној мрежи не контролише много. Тражење руте је искренији дијаграм од оног у презентацији.
Администрација припада свом сопственом изричито дозвољеном путу. Дозволити корисницима да стигну до апликације никада не захтева да им се дозволи да стигну до контролног интерфејса уређаја, и обе дозволе треба дати из различитих правила. Проверите оба пута одвојено, јер заједничко правило крије који је отворен.
Превођење мења шта могу да виде правила ниже
Превођење извора је згодно и уништава информације. После masquerade сваки клијент изгледа као уређај, па правило ниже написано да разликује кориснике то више не може. То није само проблем евиденције, то је проблем политике: правило везано за адресу клијента тихо постаје правило везано за пролаз. Ако је политика по кориснику важна, сачувајте извор или примените политику пре превођења.
Пут одговора заслужује исту пажњу. Забележите коју руту одредиште бира за повратни пакет, јер асиметричан повратак заобилази проверу стања и ствара везу која се успостави и затим заблокира. Оба смера морају да пређу нацртану границу, иначе је граница декорација.
sudo tcpdump -ni inside0 host 10.20.5.10
ip route get 10.20.5.10
sudo iptables -t nat -S POSTROUTINGПрихватите дозвољену и одбијену операцију
Тестирајте са правог удаљеног клијента, а не са административног домаћина, јер административни домаћин обично стоји тамо где корисник никада неће бити. Једна дозвољена операција доказује да пут ради, а једна одбијена да политика уопште нешто ради. Покрените обе после сваке промене размештаја и забележите идентитет извора и одредиште које сте користили. Тест који доказује само успех не може да разликује исправно правило од оног које недостаје.
Затим тестирајте случајеве који мењају стање: поновно повезивање, сесију која надживи ротацију кључева и отказ самог уређаја. Упоредите ажурирања, капацитет и опоравак као део истог распореда, јер један уређај који држи неколико логичких контрола је један домен отказа са неколико ознака. Ни други сандук није независан када заједнички административни акредитив или неограничена рута победе границу коју је требало да створи.
Документујте крајњу тачку, дешифровану путању и контролу која је ограничава. Та три реда остају смислена како год се имплементација звала.