Pagkatapos ng decryption: aling patakaran ang unang nakakakita ng iyong VPN traffic

Ang daloy ng VPN ay maaaring ganap na naka-encrypt at ganap na napatotohanan at gayon pa man ay mapunta sa lugar na walang nagplano. Ang cable na isinasaksak mo ay hindi nagtatakda kung aling tuntunin ang nagpoproseso ng panloob na packet; ginagawa ito ng kawit ng patakaran at ng ruta. Kaya ang dalawang disenyong magkamukha sa isang rack diagram ay maaaring may ganap na magkaibang pagpapatupad. Ang pagpili sa pagitan nila ay nagsisimula sa pagpangalan sa kontrol na unang nakakakita ng na-decrypt na daloy.

Magpasiya sa kawit ng patakaran, hindi sa port

Bawat plataporma ng VPN ay sinusuri ang na-decrypt na trapiko sa isang punto bago ito ihatid, at ang puntong iyon ay may pangalan sa configuration. Sa isang plataporma ito ay filter ng patakaran ng grupo, sa iba ay patakaran ng interface o pares ng zone, at sa device na nagruruta maaaring ito ay chain ng forward lamang. Ang kawit ang nagpapatupad ng tuntunin, habang ang port ng switch ay tanging lugar kung saan nagtatapos ang cable. Ang paghahanap ng kawit ang unang desisyon, dahil ang lahat ng iba ay paglalagay kaugnay nito.

Bago tingnan ang hardware, isulat ang daloy: sino ang pinagmulan, saan ito patungo, aling protocol ang nagdadala at aling serbisyo ang pinapayagan. Pagkatapos ay hanapin ang kontrol na nagpapatupad sa bawat isa sa apat na katotohanang iyon.

Dalawang landas, dalawang magkaibang kuwento ng pagpapatupad

Dalawang anyo ang karaniwan at ang bawat isa ay maaaring tama para sa magkaibang pangangailangan.

endpoint -> shared inside subnet -> server
endpoint -> dedicated transit -> policy firewall -> server subnet

Ang unang anyo ay maaaring magpatupad ng lahat ng kailangan sa gateway, sa kondisyon na ang patakaran ay nakasulat para sa destinasyong iyon at ang server ay walang rutang lumilibot dito. Ang pangalawang anyo ay nagdaragdag ng hangganan, ngunit kung ang mga ruta at patakaran ay talagang nagpapadaan sa trapiko. Ang server sa parehong segment ng endpoint ay maaaring hindi kailanman sumunod sa inisip na intermediate hop. Ipinapakita ng diagram ang layunin, at ipinapakita ng routing table ang nangyayari.

Beripikahin sa pamamagitan ng paghahanap ng ruta at hindi ng guhit. Ang interface na nilalabasan ng packet at ang susunod na hop na pinipili nito ang nagtatakda kung ang pangalawang anyo ay kumikilos ayon sa disenyo.

ip route get 10.30.7.20
sudo iptables -S FORWARD
sudo tcpdump -ni inside0 host 10.30.7.20

Ihiwalay ang topolohiya sa pagbubukod

Ang pagbabahagi ng subnet ay hindi gumagawa ng lugar na hindi mapagkakatiwalaan, at ang dedikadong transit ay hindi ito ginagawang protektado. Ang nagtatakda ay ang paghihigpit na aktwal na inilalapat, ang pagpapasa na aktwal na nangyayari at kung sino ang nangangasiwa sa bawat bahagi. Ang pagbilang ng switch ay walang sinasabi tungkol sa alinman sa tatlo. Magpasiya mula sa patakaran at ruta, at hayaang sundan ng topolohiya ang pasya.

Tratuhin din nang hiwalay ang mga populasyon ng trapiko. Ang mga pool ng remote access, mga prefix ng site-to-site at mga network ng pribadong linya ay maaaring magbahagi ng isang device at kailangan pa rin ng iba’t ibang tuntunin, dahil magkaiba ang kanilang pagkakakilanlan at panganib. Ang tuntuning isinulat para sa isang populasyon ay tahimik na sumasaklaw sa iba kapag nagbabahagi sila ng plano ng address.

Suriin ang pagkabigo at pamamahala sa bawat paglalagay

Bawat paglalagay ay may paraan ng pagkabigo, at ang kapaki-pakinabang na tanong ay ano pa ang gumagana kapag huminto ang isang bahagi. Ang ilang lohikal na interface sa isang patay na device ay hindi nagbibigay ng malayang pagbawi, at ang firewall sa ibaba na nagbabahagi ng parehong kuryente o parehong administrator ay hindi pangalawang hangganan. Itanong kung saan dumadaan ang landas ng pamamahala, dahil ang console na naaabot lamang sa tunnel ay hindi landas ng pagbawi; ssh [email protected] true mula sa labas ng tunnel ang pinakamurang paraan upang patunayang hindi nakadepende rito ang console. Ang dokumentasyon ng patakaran ng grupo ng isang plataporma ay naglalagay ng filter sa trapikong pagkatapos ng decryption at bago ang encryption, na siyang eksaktong uri ng pinangalanang kawit na dapat hanapin sa anumang produkto.

Isulat ang kuwento ng pagkabigo ng bawat kandidato sa tabi ng kuwento ng pagpapatupad. Ang paglalagay na nananalo sa inspeksyon at natatalo sa pagbawi ay isang palitan, at dapat itong itala bilang ganoon sa halip na matuklasan sa gitna ng isang insidente.

Tanggapin gamit ang pinapayagan at tinanggihang daloy

Sa isang aprubadong plano ng pagsubok, suriin ang tatlong bagay mula sa tunay na pinagmulan ng VPN: isang aplikasyong dapat gumana, isang mapagkukunang hindi dapat, at ang direksyong binabalikan ng tugon. Ang pagtanggi ay ang ebidensyang nakatali ang patakaran, habang ang pinapayagang daloy ay nagpapatunay lamang na may landas.

Itago nang magkasama ang piniling landas at ang resulta ng patakaran, dahil ang resulta na walang landas ay hindi maaaring kopyahin at ang landas na walang resulta ay hindi maipagtatanggol. Ang pares na iyon ay mas kapaki-pakinabang sa pagpili ng attachment point kaysa sa anumang pag-aangkin kung aling layer ng switching ang likas na mas ligtas.