Efter dekryptering: vilken policy ser din VPN-trafik först

Ett VPN-flöde kan vara perfekt krypterat och perfekt autentiserat och ändå hamna där ingen hade planerat. Kabeln du sätter i avgör inte vilken regel som behandlar det inre paketet; det gör policykroken och rutten. Därför kan två konstruktioner som ser identiska ut på ett rackdiagram ha helt olika tillämpning. Valet mellan dem börjar med att namnge den kontroll som ser det dekrypterade flödet först.

Avgör efter policykroken, inte porten

Varje VPN-plattform utvärderar dekrypterad trafik vid någon punkt innan den skickas vidare, och den punkten har ett namn i konfigurationen. På en plattform är det ett gruppolicyfilter, på en annan en gränssnittspolicy eller ett zonpar, och på en router kan det vara helt enkelt forward-kedjan. Kroken verkställer regeln, medan switchporten bara är platsen där kabeln slutar. Att hitta kroken är det första beslutet, eftersom allt annat är placering i förhållande till den.

Innan du tittar på hårdvara, skriv ner flödet: vem källan är, vart det ska, vilket protokoll som bär det och vilken tjänst som är tillåten. Hitta sedan den kontroll som verkställer vart och ett av de fyra fakta.

Två vägar, två olika berättelser om tillämpning

Två former är vanliga och var och en kan vara rätt för olika krav.

endpoint -> shared inside subnet -> server
endpoint -> dedicated transit -> policy firewall -> server subnet

Den första formen kan verkställa allt som behövs i gatewayen, förutsatt att gatewaypolicyn är skriven för det målet och servern inte har en väg runt den. Den andra formen lägger till en gräns, men bara om rutterna och policyn faktiskt får trafiken att gå genom den. En server i samma segment som ändpunkten följer kanske aldrig det tänkta mellanhoppet. Diagrammet visar avsikten och routingtabellen visar vad som händer.

Verifiera med en ruteftersökning och inte med teckningen. Gränssnittet paketet lämnar genom och nästa hopp det väljer avgör om den andra formen beter sig som designat.

ip route get 10.30.7.20
sudo iptables -S FORWARD
sudo tcpdump -ni inside0 host 10.30.7.20

Skilj topologi från isolering

Att dela ett subnät gör inte en plats otillförlitlig, och en dedikerad transit gör den inte skyddad. Det som avgör är den begränsning som faktiskt tillämpas, den vidarebefordran som faktiskt sker och vem som administrerar varje del. Att räkna switchar säger ingenting om någon av de tre. Avgör utifrån policyn och rutten, och låt topologin följa beslutet.

Hantera trafikpopulationer separat också. Fjärråtkomstpooler, site-till-site-prefix och nät med privata linjer kan dela en enhet och ändå behöva olika regler, eftersom deras identitet och risk skiljer sig. En regel skriven för en population täcker tyst de andra när de delar en adressplan.

Kontrollera fel och administration för varje placering

Varje placering har ett felläge, och den användbara frågan är vad som fortfarande fungerar när en komponent stannar. Flera logiska gränssnitt på en enda död enhet ger ingen oberoende återställning, och en brandvägg nedströms som delar samma matning eller samma administratör är inte en andra gräns. Fråga var administrationsvägen går, eftersom en konsol som bara nås via tunneln inte är någon återställningsväg alls; ssh [email protected] true utanför tunneln är det billigaste sättet att bevisa att konsolen inte är beroende av den. Dokumentationen för gruppolicy på en plattform lägger sitt filter på trafik efter dekryptering och före kryptering, vilket är precis den sortens namngivna krok man ska leta efter i varje produkt.

Skriv felberättelsen för varje kandidat bredvid tillämpningsberättelsen. En placering som vinner på inspektion och förlorar på återställning är en byteshandel, och den bör registreras som sådan i stället för att upptäckas under en incident.

Godkänn med ett tillåtet och ett nekat flöde

Med en godkänd testplan, kontrollera tre saker från den riktiga VPN-källan: en applikation som borde fungera, en resurs som inte borde, och riktningen som svaret kommer tillbaka i. Nekandet är beviset på att policyn är aktiv, medan det tillåtna flödet bara bevisar att en väg finns.

Bevara den valda rutten och policyresultatet tillsammans, eftersom ett resultat utan rutten inte kan återskapas och en rutt utan resultatet inte kan försvaras. Det paret är mycket mer användbart för att välja en anslutningspunkt än något påstående om vilket switchlager som i sig är säkrare.