VPN முதல் VLAN வரை அணுகல்: விதிகளுக்கு முன் அணிவரிசையை உருவாக்குங்கள்
ஒரு பக்கத்தில் பங்குகள், மறுபக்கத்தில் சேவைகள். ஐந்து சோதனைகள் தெளிவற்ற VPN-முதல்-VLAN அணுகல் வடிவமைப்பை ஃபயர்வால் உரிமையாளர் செயல்படுத்தக்கூடிய அட்டவணையாக மாற்றுகின்றன.
ஃபயர்வால் தொடரியலில் இருந்து அல்ல, அணிவரிசையில் இருந்து தொடங்குங்கள். ஒரு பக்கத்தில் பங்குகளும் மறுபக்கத்தில் சேவைகளும் உள்ள அட்டவணையை ஒரு பயன்பாட்டு உரிமையாளர் மதிப்பாய்வு செய்யலாம், பாதுகாப்பு உரிமையாளர் அதைப் பற்றி விவாதிக்கலாம், கேட்வே வைத்திருப்பவர் எவரும் செயல்படுத்தலாம். யாரும் ஒப்புக்கொள்ளாத விதிகளை பிழைதிருத்துவதை விட அந்த மதிப்பாய்வு மலிவானது.
அதை எழுத ஒரு மணி நேரம் பின்னர் ஒரு வார விதி-தொல்பொருளியலைச் சேமிக்கிறது. வடிவமைப்பு யார் எந்தச் சேவையை அடைகிறார் என்பதைப் பேசுகிறது, மறுஎண்ணிடலுக்குப் பிறகு நிலைத்திருப்பது அந்தப் பகுதியே.
படி 1: வலையங்களுக்கு முன் பங்குகளுக்குப் பெயரிடுங்கள்
சுவிட்சில் இருந்து அல்ல, மக்களிடம் இருந்து தொடங்குங்கள். தொலைவிலிருந்து இணைக்கும் ஒவ்வொரு குழுவையும் அந்தக் குழு என்ன செய்கிறது என்பதை விவரிக்கும் ஒற்றை வாக்கியத்தையும் எழுதுங்கள், எடுத்துக்காட்டாக இருப்பு நிலைகளைப் படிக்கும் கிடங்கு ஊழியர்கள் அல்லது ஒரு ஒருங்கிணைப்பைப் பராமரிக்கும் ஒப்பந்தக்காரர். இரண்டு குழுக்களுக்கு ஒரே அணுகல் கிடைக்குமெனில், இந்த நோக்கத்திற்கு அவை ஒரே பங்கு.
ஒரு பங்கு நிறுவன வரைபடத்தின் காரணமாக மட்டுமே இருந்தால் இங்கே நில்லுங்கள். தனக்கென தனிச் சேவைத் தேவை இல்லாத பங்கு ஒரே மாதிரியான கலங்களின் வரிசையாகிறது, ஒரே மாதிரியான வரிசைகள் பின்னர் வசதிக்காக ஒரு முழு துணைவலையத்தை வழங்க யாரையோ தூண்டுகின்றன. மக்கள் என்ன செய்கிறார்கள் என்பதன் அடிப்படையில் பிரியுங்கள், அவர்களின் செலவில் யார் கையெழுத்திடுகிறார் என்பதன் அடிப்படையில் அல்ல. சிறிய அலுவலகத்திற்கு ஆறு பங்குகள் பொதுவாக அதிகம், மூன்று பெரும்பாலும் சரி.
படி 2: ஒவ்வொரு கலத்தையும் சேவை அறிக்கையாக மாற்றுங்கள்
«பயன்பாடுகள்» என்று எழுதப்பட்ட கலத்தைச் சோதிக்க முடியாது. «ஊழியர் குளத்திலிருந்து 443 இல் ERP புரவலனுக்கு HTTPS» என்று எழுதப்பட்ட கலத்தைச் சோதிக்கலாம். ஒவ்வொரு வலையப் பெயரையும் இலக்கு, நெறிமுறை மற்றும் துறையால் மாற்றுங்கள், பின்னர் சேவை அது இல்லாமல் இயங்காத சார்பைச் சேர்க்கவும், எடுத்துக்காட்டாக உள் தீர்வான் அல்லது அடையாள வழங்குநர்.
| Check | Passes when | Stop if |
|---|---|---|
| Destination named | Host and port appear in the cell | Cell names a VLAN or a subnet |
| Direction stated | Initiator and responder are both clear | Cell implies two-way access |
| Dependency listed | DNS or identity path is explicit | Whole infrastructure range is granted |
| Negative case written | At least one denied pair is recorded | Only allow rules exist |
திசை நெடுவரிசை மிக விலை உயர்ந்த தவறுகளைப் பிடிக்கிறது. ஊழியர்கள் ஒரு பயன்பாட்டைத் திறக்க அனுமதி என்பது பயன்பாட்டுச் சேவையகங்கள் ஊழியர்களின் மடிக்கணினிகளுக்குத் திரும்ப இணைப்புகளைத் திறக்க அனுமதி என்று பொருள் அல்ல, முதல் திசையை அனுமதிக்கும் நிலை-கொண்ட விதி பெரும்பாலும் இரண்டையும் அனுமதிப்பதாகப் படிக்கப்படுகிறது.
படி 3: அடையாளம் எங்கே கொள்கையாகிறது என்பதை முடிவு செய்யுங்கள்
யாரோ அங்கீகரிக்கப்பட்ட அமர்வை கேட்வே செயல்படுத்தக்கூடிய பங்காக மாற்ற வேண்டும். ஆதரிக்கப்படும் விருப்பங்களில் அங்கீகார பின்தளம் வழங்கும் குழுக் கொள்கை, நம்பகமான அமர்வுப் பண்புகள், அல்லது ஒவ்வொரு பங்கிற்கும் தனித்தனி முகவரிக் குளங்கள் அடங்கும். மூன்றும் வேலை செய்கின்றன; வாடிக்கையாளர் அனுப்பும் லேபிள் வேலை செய்யாது. மன்ற இடுகை விவரிப்பதை அல்ல, உங்கள் கேட்வே ஆவணப்படுத்துவதைத் தேர்ந்தெடுங்கள்.
VLAN-க்கு உரியது போல் தோன்றும் முகவரியை வழங்குவது மற்றொரு உடையில் அதே பதிலின்மை. OpenVPN ஃபயர்வால் விதிகள் பற்றிய Netgate வழிகாட்டி இந்தப் பிரிவைத் தெளிவாக்குகிறது: பாதை வெளிப்பட அனுமதிப்பது அதன் வழியாகப் போக்குவரத்து செல்ல அனுமதிப்பதிலிருந்து வேறுபட்ட முடிவு.
நீங்கள் எந்த முறையைத் தேர்ந்தெடுத்தீர்கள், அது எங்கே கட்டமைக்கப்பட்டுள்ளது என்பதை எழுதுங்கள். ஒரு பங்கு மாறும்போது, அந்தக் குறிப்பே ஒரு திருத்தத்திற்கும் மூன்று இடைமுகங்களில் தேடலுக்கும் இடையிலான வித்தியாசம். தணிக்கையாளருக்கு முதலில் எங்கே பார்க்க வேண்டும் என்பதையும் அது சொல்கிறது.
படி 4: இலக்கு காணும் மூல முகவரியைக் கவனியுங்கள்
எல்லையில் முன்னனுப்பல் கொள்கை உண்மையான மூலத்துடன் பொருந்த வேண்டும். கேட்வே VPN வாடிக்கையாளர்களைத் தன் சொந்த முகவரிக்கு மொழிபெயர்த்தால், கீழேயுள்ள ஒவ்வொரு ஃபயர்வாலும் ஒரே மூலத்தைக் காண்கிறது, பங்கின் அடிப்படையில் முடிவெடுக்கும் திறனை இழக்கிறது. வாடிக்கையாளரின் முகவரியைத் தக்கவைத்தால், அந்தக் குளத்திற்குத் திரும்பும் பாதை இருக்க வேண்டும்.
இறுதி விதிகளை எழுதுவதற்கு முன் இரு திசைகளையும் சோதியுங்கள், பின்னர் கவனிக்கப்பட்ட மூலத்தை ஒவ்வொரு கலத்தின் அருகிலும் பதிவு செய்யுங்கள். அதே சோதனையை இரண்டு வெவ்வேறு பங்குகளிலிருந்து இயக்கி முடிவை ஒப்பிடுங்கள். இரண்டும் கேட்வே முகவரியைக் காட்டினால், பங்கு வேறுபாடு ஏற்கனவே இழக்கப்பட்டது. கேட்வே மூல மொழிபெயர்ப்பு செய்யும்போது தக்கவைக்கப்பட்ட முகவரிகளைக் கருதும் அணிவரிசை முதல் கீழ் ACL-இல் தோல்வியடைகிறது.
படி 5: வெளியிடும் முன் ஒவ்வொரு கலத்தையும் சோதியுங்கள்
அனுமதிக்கப்பட்ட ஒவ்வொரு கலத்தையும் ஒரு பிரதிநிதி செயல்பாடாகவும், மறுக்கப்பட்ட ஒவ்வொரு கலத்தையும் எதிர்மறை நிகழ்வாகவும் மாற்றுங்கள். இரண்டையும் உண்மையான பங்கில் உள்ள வாடிக்கையாளரிடமிருந்து இயக்குங்கள், கேட்வே பணியகத்திலிருந்து அல்ல, ஏனெனில் பணியகம் நீங்கள் சோதிக்கும் பாதையைத் தவிர்க்கிறது.
# allowed: staff role reaches the ERP endpoint
curl -sS -o /dev/null -w '%{http_code}\n' --max-time 5 https://erp.internal.example/health
# denied: the same role must not reach a management host
nc -vz -w 3 10.30.5.11 22
# observed source address at the destination
sudo tcpdump -ni any 'tcp port 443 and host 10.30.20.15'இணைக்கும் எதிர்மறை நிகழ்வு ஒரு கண்டுபிடிப்பு, தற்செயல் அல்ல, விதி சரிசெய்யப்படும் வரை அதன் இடம் அணிவரிசையில் தோல்வியுற்ற கலம். சோதனைக் கட்டளைகளை அட்டவணைக்கு அருகில் வையுங்கள், அடுத்த மதிப்பாய்வாளர் பகுத்தறிவை மீண்டும் கட்டுவதற்குப் பதிலாக அவற்றை மீண்டும் இயக்கட்டும்.
முடிக்கப்பட்ட அட்டவணை அது எழுதப்பட்ட கேட்வேயை விட நீண்ட காலம் வாழ்கிறது. விதிகள் ஃபேர்ம்வேர் மற்றும் விற்பனையாளருடன் மாறுகின்றன, ஆனால் ஒப்பந்தக்காரர் ஒரு திட்டச் சேவையை அடைகிறார் என்ற வரி அந்த வேலை மாறும் வரை உண்மையாகவே இருக்கும்.