Chora njia iliyofunguliwa: mahali kifaa cha VPN kinapotekeleza sera

Mchoro wa wauzaji kwa kawaida huishia kwa msikilizaji aliyesimbwa, kwa sababu hiyo ni sehemu iliyo na anwani ya umma. Swali linaloamua msimamo wa usalama ni kile kinachotokea baada ya kufungua usimbaji, wakati pakiti inakuwa IP ya kawaida na inaweza kufikia kila kitu jedwali la njia linaruhusu. Ikiwa hakuna aliyechora sehemu hiyo, hakuna anayemiliki. Mwongozo ulio hapa chini unaichora kwanza, kisha unalinganisha nafasi kwa kile ombi lililofunguliwa linapita kweli.

Chora pakiti baada ya kufungua usimbaji, si kabla

Njia ya nje ni sehemu ambayo wauzaji wanaiandika: kitovu cha mwisho cha umma, sera ya usafirishaji inayokubali muunganisho, na huduma inayoumaliza. Njia ya ndani huanza wakati pakiti inapopoteza kichwa cha handaki, na kutoka hapo inaongozwa na kanuni za njia na uchujaji ambazo hazina uhusiano wowote na handaki. Weka zote mbili kwenye ukurasa mmoja, kwa sababu mchoro wenye ya kwanza tu unaashiria kwamba kukubali na uidhinishaji ni uamuzi mmoja. Si hivyo, na pengo kati yao ndilo mahali ambapo nafasi nyingi hukosea.

Andika sehemu ya ndani kama mfululizo wenye nambari na aina za vifaa vilivyotajwa, si kama mshale. Mshale huficha ikiwa ombi linapita kichujio, na kupita au kutopita ndilo swali lote. Kila hatua hapa chini inataja kifaa na seti ya kanuni inayofanya kazi hapo, kwa hivyo kichujio kinachokosekana kinaonekana kama pengo badala ya kuashiriwa na mstari.

1. Mteja wa mbali: kifaa cha mtumiaji kinachounda handaki.
2. Sera ya ukingo: seti ya kanuni inayokubali usafirishaji wa nje hadi msikilizaji wa umma.
3. Kifaa cha kumaliza: kitovu cha mwisho cha VPN kinachofungua kifuniko na kukabidhi pakiti kwa IP ya kawaida.
4. Kichujio cha ndani: seti ya kanuni za upelekaji au vikundi vya usalama vinavyopunguza trafiki kutoka mteja hadi huduma.
5. Mwenyeji wa programu: huduma inayopokea ombi lililofunguliwa.

Sera mbili, wamiliki wawili

Sera ya nje hujibu nani anaweza kuanzisha handaki, na inaonyeshwa katika kanuni zinazokubali usafirishaji hadi huduma ya kumalizia. Sera ya ndani hujibu ni huduma gani mtumiaji aliyethibitishwa anaweza kufikia, na inaishi katika kanuni za upelekaji, vikundi vya usalama au programu yenyewe. Kifaa kimoja kinaweza kuwa na zote mbili, na muundo wenye vifaa kadhaa bado una zote mbili. Kutaja kwao tofauti ndiko kunakokuwezesha kusema ni ipi ilishindwa wakati mtumiaji hafiki programu.

Vidhibiti vya kukubali kama vyeti na uthibitishaji wa hatua nyingi hujibu utambulisho na hakuna kingine. Haviamui nafasi, na havitoi ruhusa kwa kila rasilimali mtumiaji akiwa ndani.

Nafasi huamua ni mpaka gani ombi linapita

Nafasi tatu ni za kawaida, na kila moja hubadilisha ni mpaka gani ombi lililofunguliwa linapita. Linganisha kwa kile kinachoishia hapo, kile kinachoweza kuona maandishi wazi, kidhibiti gani bado kinaweza kukataa ombi, na kile kinachoshindikana pamoja na kifaa. Jedwali hapa chini linatumia safu hizo nne badala ya swali la jumla, kwa sababu kila jibu ni uamuzi tofauti wa muundo.

Nafasi ya tatu ndiyo inayoondoa utekelezaji kwa utulivu, kwa sababu sehemu kwenye kipande kilicholindwa inampa kifaa njia ya moja kwa moja ambayo mchoro unaweza usiionyeshe. Chunguza violesura na njia, si picha: ip route get 10.20.5.10 inaripoti ni kiolesura gani pakiti itatoka, na jibu mara nyingi si lile ambalo muundo ulidhani. Jukumu la kawaida la ukuta wa moto la kudhibiti trafiki kati ya misimamo, kama ilivyoelezwa katikaNIST SP 800-41, ni jaribio lenye manufaa hapa, kwa sababu kifaa kilicho na sehemu isiyo na kikomo kuelekea mtandao uliolindwa hakidhibiti mengi. Utafutaji wa njia ni mchoro wa uaminifu zaidi kuliko ule wa uwasilishaji.

Utawala unamiliki njia yake mwenyewe iliyoruhusiwa waziwazi. Kuwaruhusu watumiaji kufikia programu hakuhitaji kamwe kuwaruhusu kufikia kiolesura cha udhibiti cha kifaa, na ruhusa hizo mbili zinapaswa kutolewa kutoka kanuni tofauti. Kagua njia zote mbili kwa tofauti, kwa sababu kanuni inayoshirikiwa huficha ni ipi ilifunguliwa.

Tafsiri hubadilisha kile kanuni za chini zinaweza kuona

Tafsiri ya chanzo ni rahisi na huharibu taarifa. Baada ya masquerade kila mteja anaonekana kama kifaa, kwa hivyo kanuni ya chini iliyoandikwa kutofautisha watumiaji haiwezi kufanya hivyo tena. Hii si tatizo la kumbukumbu tu, ni tatizo la sera: kanuni iliyowekwa kwa anwani ya mteja inakuwa kimya kimya kanuni iliyowekwa kwa lango. Ikiwa sera kwa kila mtumiaji ni muhimu, hifadhi chanzo au tekeleza sera kabla ya tafsiri.

Njia ya jibu inastahili uchunguzi huo. Rekodi ni njia gani lengwa inachagua kwa pakiti ya kurudi, kwa sababu kurudi kusiko na usawa kunapita ukaguzi wa hali na kutoa muunganisho unaojengwa kisha kukwama. Mielekeo yote miwili lazima ivuke mpaka uliochora, vinginevyo mpaka ni mapambo.

sudo tcpdump -ni inside0 host 10.20.5.10
ip route get 10.20.5.10
sudo iptables -t nat -S POSTROUTING

Kubali operesheni iliyoruhusiwa na iliyokataliwa

Jaribu kutoka kwa mteja wa mbali halisi badala ya mwenyeji wa usimamizi, kwa sababu mwenyeji wa usimamizi kwa kawaida hukaa mahali ambapo mtumiaji hatawahi kuwa. Operesheni moja iliyoruhusiwa inathibitisha kwamba njia inafanya kazi, na iliyokataliwa inathibitisha kwamba sera inafanya kitu hata kidogo. Endesha zote mbili baada ya kila mabadiliko ya nafasi, na rekodi utambulisho wa chanzo na lengwa ulilotumia. Jaribio linalothibitisha mafanikio pekee haliwezi kutofautisha kanuni sahihi na inayokosekana.

Kisha jaribu hali zinazobadilisha hali: kuunganisha tena, kikao kinachodumu zaidi ya mzunguko wa ufunguo, na kushindikana kwa kifaa chenyewe. Linganisha masasisho, uwezo na urejeshaji kama sehemu ya mpangilio ule ule, kwa sababu kifaa kimoja kinachobeba vidhibiti kadhaa vya kimantiki ni kikoa kimoja cha kushindikana chenye lebo kadhaa. Sanduku la pili pia si huru wakati kitambulisho cha usimamizi kinachoshirikiwa au njia isiyo na kikomo inashinda mpaka uliokusudiwa kuundwa.

Andika kitovu cha mwisho, njia iliyofunguliwa na kidhibiti kinachoipunguza. Mistari hiyo mitatu inabaki na maana jinsi yoyote utekelezaji unavyoitwa.