Jinsi ya kupunguza ufikiaji kati ya ofisi mbili zilizounganishwa na VPN

Tunnel ya tovuti-hadi-tovuti hujibu swali moja, kama ofisi mbili zinaweza kubadilishana pakiti, na huacha lile muhimu wazi: kifaa kipi cha tawi kinaweza kufikia huduma gani kuu. Kutendea tunnel kama uaminifu wa pande zote ndiyo njia ambayo kompyuta ya mgeni huishia kwenye njia moja na seva ya fedha. Suluhisho si tunnel bora, bali orodha wazi ya ruhusa inayotekelezwa baada ya kufichua. Mwongozo huu unaongoza orodha hiyo kutoka ufafanuzi hadi kukataliwa kuthibitika.

Fanya kazi kwa mpangilio huu, na usipanue njia ya tunnel hadi hatua za sera zilizo chini zipite.

Andika matriki kabla ya kugusa lango

Safu muhimu hutaja vitu vitatu: kundi la chanzo, mwenyeji au mtandao wa huduma ya lengo, na itifaki na bandari ambazo programu hutumia kwa kweli. Tawi na kituo cha data si maingizo. DNS za kibinafsi na huduma za uthibitishaji hupata safu zao wenyewe tu wakati programu haiwezi kufanya kazi bila hizo.

Panga vyanzo kwa jukumu na si kwa urahisi wa mtandao mdogo: wafanyakazi, wageni, utawala. Wakati wote watatu wanashiriki LAN moja tambarare, lango haliwezi kuwatofautisha kwenye tabaka la mtandao, kwa hiyo udhibiti wa utambulisho au mgawanyiko lazima uje kwanza. Kisha weka matriki kwa maandishi ukiwa na mmiliki na tarehe ya mapitio kwenye kila safu.

Tekeleza pale pakiti zinapofichuliwa

Kanuni zinazoruhusu IKE na ESP hujenga tunnel ya nje pekee. Trafiki ya ndani hufika wazi kwenye kiolesura cha tunnel, na hapo ndipo orodha ya ruhusa inapopasa kuwa: mnyororo wa upelekaji kwenye kifaa kinachofichua, kuacha kwa chaguo-msingi, kanuni moja kwa kila safu ya matriki. Kwenye lango za Linux hiyo inamaanisha upelekaji umewashwa na kanuni za kuchuja ziko kwenye kifaa cha tunnel, si kwenye kiungo cha kimwili, kama inavyoeleza mwongozo wa upelekaji wa strongSwan.

Vichaguzi vya trafiki ni uamuzi wa uelekezaji, si uamuzi wa idhini. Kichaguzi kipana kinachofunika mitandao midogo yote miwili kinaweza kuwa sahihi kwa uelekezaji huku ngome bado ikiruhusu TCP 443 pekee kwa mwenyeji mmoja. Kichaguzi hujadiliwa kwa ajili ya tunnel na hueleza kile kinachoweza kuingia ndani yake, si kile ambacho kifaa fulani kinaweza kutumia. Kamwe usipanue kanuni ya ngome kwa sababu kichaguzi ni kipana.

iptables -A FORWARD -i tun0 -s 10.20.0.0/24 -d 10.10.5.10 -p tcp --dport 443 -j ACCEPT
iptables -A FORWARD -i tun0 -j DROP

NAT na mitandao midogo inayopishana hubadilisha kanuni

Wakati lango la tawi linatafsiri kila mwenyeji kuwa anwani moja kabla ya tunnel, kila safu inayotegemea chanzo huanguka kwenye anwani hiyo moja. Ama acha kutafsiri trafiki ya tunnel, au kubali kwamba kanuni lazima zitegemee kitu kingine, kama anwani ya awali ya chanzo iliyorekodiwa kabla ya tafsiri. Upande wa mbali una tatizo hilo hilo, kwa sababu mwenyeji lengwa huona anwani ya baada ya NAT na si ile ya awali.

Masafa yanayopishana ni mtego mwingine. Ofisi mbili zinazotumia zote 192.168.1.0/24 haziwezi kuelezwa katika jedwali moja la sera bila kuweka ramani ya upande mmoja, na ramani si mbadala wa anwani zisizogongana. Rekebisha mpango kabla ya kuandika kanuni ambazo utalazimika kuzifungua baadaye.

Thibitisha kukataliwa, si mafanikio pekee

Kujaribu programu iliyoruhusiwa pekee huthibitisha kidogo sana, kwa sababu kanuni iliyolegea mahali juu hutoa matokeo sawa.

Kutoka kifaa cha kawaida cha tawi, fikia huduma iliyokusudiwa na uthibitishe kwamba kikao kizima kinafanya kazi. Kisha jaribu lengo ambalo lazima libaki funge, kama bandari ya utawala kwenye seva ambayo tawi halina uhusiano nayo, na soma kihesabu au kumbukumbu ya logi iliyolitupa. Kuzima seti ya kanuni ili kuangalia kama inafanya kazi kunabatilisha jaribio na kuacha lango wazi unapotazama.

Weka orodha hai

Programu huhamia, na kanuni inayomudu zaidi ya programu yake huwa shimo ambalo hakuna mmiliki. Ambatanisha tarehe ya mapitio na safu, na ubadilishe wigo wa kichaguzi na kanuni ya ngome katika hatua moja ya matengenezo wakati huduma inabadilisha anwani.

Vikwazo vya ngazi ya mwenyeji bado ni muhimu nyuma ya tunnel: ngome ya seva yenyewe inapaswa kukubali masafa ya tawi kwa huduma inayoichapisha pekee. Tabaka mbili zinazokubaliana ni rahisi kukaguliwa kuliko tabaka moja inayoaminika kabisa.