Дајте VPN корисницима приступ једној услузи, а не подмрежи

Извођачу је потребна једна интерна веб апликација и ништа друго, а лак одговор је дати му тунел у подмрежу сервера. То ради до дана када је скенира. Ужи дизајн захтева више размишљања, јер су доступност, рутирање и дозвола апликације три одвојене контроле које морају да се слажу.

Запишите захтев као услугу, а не као подмрежу

Почните са циљним хостом, протоколом и портом, затим додајте групу корисника или уређаја која треба да стигне до њега. Укључите приватну DNS зону само ако апликација разрешава име, и укључите добављача идентитета само ако је току пријаве потребан. Све остало је зависност коју још нисте оправдали.

Подмрежа је детаљ имплементације мрежног тима, док је услуга оно што је посао затражио и јединица која може да се прегледа и повуче.

Ако листа зависности пређе три ставке, апликацији вероватно треба сопствени разговор о дизајну.

Рутирајте уско, али спроводите на другом месту

Уска рута или селектор каже тунелу које пакете да носи; то није политика ауторизације. Филтер пролаза, заштитни зид циљног хоста и сопствени модел дозвола апликације су места где се одлучује о приступу. Рута која покрива једну адресу је добар почетак и није контрола која зауставља одлучног корисника. Управо то раздвајање вам омогућава да промените филтер без преправљања тунела.

Обрнуто, широка рута са строгим филтером може бити законита, али само ако сви укључени знају која од две спроводи контролу.

Експлицитно документујте тачку спровођења, иначе ће је следећа измена случајно померити.

Проверите извор који услуга заиста види

Циљ види или адресу из базена клијента или адресу пролаза, зависно од тога да ли преводите. Правила заштитног зида хоста и дневници морају да одговарају стварном извору. Ако више корисника дели преведени извор, ниједно правило по кориснику на том хосту не може да их разликује, и то је ограничење дизајна, не грешка.

Изаберите превод намерно: он поједностављује рутирање и уништава идентитет извора, што је важно за ревизију и за правила по кориснику.

Запишите које од двоје сте изабрали, поред правила које од тога зависи.

Ауторизација апликације није опциона

Долазак до порта не додељује улогу. Апликацији и даље треба сопствена пријава и сопствене дозволе, јер мрежни слој не може да изрази које записе корисник сме да уређује. Услуга која верује сваком захтеву из унутрашње подмреже претвара уски тунел у пун приступ за једно компромитовано средство за пријаву. Тунел одлучује ко сме да отвори сокет, а апликација одлучује шта сме да се ради с њим.

Ту се уски дизајн исплати двоструко, јер мање доступних хостова значи мање места где се грешка на нивоу апликације може искористити.

Држите мрежно правило и улогу апликације у одвојеним системима и повуците их одвојено.

Докажите и дозвољену и одбијену путању

Повежите се као овлашћени корисник и изведите једну безопасну репрезентативну операцију, затим покушајте одредиште које треба да буде недоступно. Дизајн који тестира само прву половину није тестиран, и управо тест одбијања доказује дизајн. Тестирајте нову сесију после сваке измене правила и погледајте повратну путању ако захтеви стижу, а одговори не.

Не искључујте филтере прослеђивања да би прихватни тест прошао, јер то мења ствар која се тестира.

Када кориснику услуга више није потребна, повуците даљински идентитет и улогу апликације у њиховим одговарајућим системима и забележите обоје. Водич strongSwan за прослеђивање покрива страну пролаза на тој путањи.