Iguhit ang dinikripitong landas: saan ipinapatupad ng VPN appliance ang patakaran
Ang diagram na tumitigil sa naka-encrypt na listener ay hindi nagpapakita ng patakarang mahalaga. Iguhit ang dinikripitong landas, pagkatapos ihambing ang mga paglalagay ayon sa tinatawid ng kahilingan.
Ang mga diagram ng vendor ay karaniwang tumitigil sa naka-encrypt na listener, dahil iyon ang bahaging may pampublikong address. Ang tanong na nagtatakda ng kalagayang pangseguridad ay kung ano ang nangyayari pagkatapos ng dekripsyon, kapag ang packet ay naging ordinaryong IP at maaaring maabot ang lahat ng pinapayagan ng routing table. Kung walang gumuhit ng bahaging iyon, walang may-ari nito. Ang runbook sa ibaba ay ginuguhit muna iyon at pagkatapos ay inihahambing ang mga paglalagay ayon sa aktwal na tinatawid ng dinikripitong kahilingan.
Iguhit ang packet pagkatapos ng dekripsyon, hindi bago
Ang panlabas na landas ay ang bahaging dokumentado ng mga vendor: isang pampublikong endpoint, isang patakaran sa transport na tumatanggap ng koneksyon, at isang serbisyong nagtatapos nito. Ang panloob na landas ay nagsisimula sa sandaling mawala ang header ng tunnel sa packet, at mula roon ay pinamamahalaan ito ng mga tuntunin sa routing at pag-filter na walang kinalaman sa tunnel. Ilagay ang dalawa sa iisang pahina, dahil ang diagram na may una lamang ay nagpapahiwatig na ang pagtanggap at awtorisasyon ay isang desisyon. Hindi ito isa, at ang agwat ng dalawa ang lugar kung saan nagkakamali ang karamihan sa mga paglalagay.
Isulat ang panloob na bahagi bilang may bilang na pagkakasunod-sunod na may pinangalanang uri ng aparato, hindi bilang palaso. Itinatago ng palaso kung tinatawid ng kahilingan ang isang filter, at ang pagtawid o hindi ay ang buong tanong. Binibigyang pangalan ng bawat hakbang sa ibaba ang aparato at ang hanay ng tuntuning gumagana roon, kaya ang nawawalang filter ay lumilitaw na butas at hindi bilang bagay na ipinahiwatig ng isang linya.
- Malayong kliyente: ang aparato ng gumagamit na lumilikha ng tunnel.
- Patakaran sa gilid: ang hanay ng tuntunin na tumatanggap ng panlabas na transport papunta sa pampublikong listener.
- Aparatong nagtatapos: ang endpoint ng VPN na nagde-decapsulate at naghahatid ng packet sa ordinaryong IP.
- Panloob na filter: ang hanay ng tuntunin sa pagpapasa o mga pangkat ng seguridad na naglilimita sa trapiko mula kliyente patungo sa serbisyo.
- Host ng aplikasyon: ang serbisyong tumatanggap ng dinikripitong kahilingan.
Dalawang patakaran, dalawang may-ari
Ang panlabas na patakaran ay sumasagot kung sino ang maaaring magtatag ng tunnel, at ito ay nakasaad sa mga tuntuning tumatanggap ng transport patungo sa serbisyong nagtatapos. Ang panloob na patakaran ay sumasagot kung aling serbisyo ang maaabot ng awtentikadong gumagamit, at ito ay naninirahan sa mga tuntunin sa pagpapasa, mga pangkat ng seguridad o sa aplikasyon mismo. Maaaring maglagay ang isang aparato ng dalawa, at ang disenyong may maraming aparato ay mayroon pa ring dalawa. Ang pagbibigay ng magkahiwalay na pangalan sa dalawa ang nagpapahintulot sa iyo na sabihin kung alin ang nabigo kapag hindi naabot ng gumagamit ang isang aplikasyon.
Ang mga kontrol sa pagtanggap tulad ng mga sertipiko at multi-factor authentication ay sumasagot sa pagkakakilanlan at sa wala nang iba. Hindi nila itinatakda ang paglalagay at hindi nagbibigay ng pahintulot bawat mapagkukunan kapag nasa loob na ang gumagamit.
Ang paglalagay ang nagtatakda kung aling hangganan ang tinatawid ng kahilingan
Tatlong paglalagay ang karaniwan, at binabago ng bawat isa kung aling hangganan ang tinatawid ng dinikripitong kahilingan. Ihambing ang mga ito ayon sa natatapos doon, ano ang nakakakita ng simpleng teksto, aling kontrol ang makakatanggi pa sa kahilingan, at ano ang nabibigo kasama ng aparato. Ginagamit ng talahanayan sa ibaba ang apat na kolum na iyon sa halip na pangkalahatang tanong, dahil bawat sagot ay hiwalay na desisyon sa disenyo.
| Placement | What terminates there | What sees plaintext | Which control can still deny | Failure domain |
|---|---|---|---|---|
| Termination in a dedicated segment | A dedicated VPN endpoint | The endpoint and anything on its segment | The filter between that segment and the application | The segment path can bypass the filter if no rule sits on it |
| Termination on the edge firewall | The firewall's public listener | The firewall, after decapsulation | The firewall's inner rule set | Admission and inspection fail together |
| Termination on the protected LAN | The appliance's LAN leg | Every host on the protected LAN | Only a host control or a downstream gateway | The appliance and the protected hosts fail together |
Ang ikatlong paglalagay ang tahimik na nag-aalis ng pagpapatupad, dahil ang isang bahagi sa protektadong segment ay nagbibigay sa aparato ng direktang landas na maaaring hindi ipakita ng diagram. Suriin ang mga interface at ruta, hindi ang larawan: iniuulat ng ip route get 10.20.5.10 kung saang interface lalabas ang packet, at ang sagot ay kadalasang hindi ang inakala ng disenyo. Ang klasikong papel ng firewall na kontrolin ang trapiko sa pagitan ng mga postura, gaya ng inilarawan saNIST SP 800-41, ay kapaki-pakinabang na pagsubok dito, dahil ang aparatong may walang limitasyong bahagi patungo sa protektadong network ay hindi gaanong nakokontrol. Ang paghahanap ng ruta ay mas tapat na diagram kaysa sa nasa presentasyon.
Ang administrasyon ay kabilang sa sarili nitong hayagang pinapayagang landas. Ang pagpayag sa mga gumagamit na maabot ang isang aplikasyon ay hindi kailanman nangangailangan ng pagpayag sa kanila na maabot ang control interface ng aparato, at ang dalawang pahintulot ay dapat ibigay mula sa magkaibang tuntunin. Suriin ang dalawang landas nang hiwalay, dahil ang pinagsasaluhang tuntunin ay nagtatago kung alin ang binuksan.
Binabago ng pagsasalin ang nakikita ng mga tuntunin sa ibaba
Ang pagsasalin ng pinagmulan ay maginhawa at sinisira nito ang impormasyon. Pagkatapos ng masquerade, bawat kliyente ay mukhang aparato, kaya ang tuntunin sa ibaba na isinulat upang makilala ang mga gumagamit ay hindi na magagawa iyon. Hindi lamang ito problema sa pag-log, ito ay problema sa patakaran: ang tuntuning naka-key sa address ng kliyente ay tahimik na nagiging tuntuning naka-key sa gateway. Kung mahalaga ang patakaran bawat gumagamit, panatilihin ang pinagmulan o ipatupad ang patakaran bago ang pagsasalin.
Ang landas ng tugon ay karapat-dapat sa parehong pagsusuri. Itala kung aling ruta ang pinipili ng destinasyon para sa pabalik na packet, dahil ang asimetrikong pagbalik ay lumalampas sa stateful inspection at gumagawa ng koneksyong nabubuo at pagkatapos ay natigil. Ang dalawang direksyon ay dapat tumawid sa hangganang iginuhit mo, kung hindi, ang hangganan ay palamuti.
sudo tcpdump -ni inside0 host 10.20.5.10
ip route get 10.20.5.10
sudo iptables -t nat -S POSTROUTINGTanggapin ang isang pinapayagan at isang tinanggihang operasyon
Subukan mula sa tunay na malayong kliyente at hindi mula sa host ng pamamahala, dahil ang host ng pamamahala ay kadalasang nakaupo sa lugar na hindi kailanman mararating ng gumagamit. Ang isang pinapayagang operasyon ay nagpapatunay na gumagana ang landas, at ang isang tinanggihan ay nagpapatunay na may ginagawa ang patakaran. Patakbuhin ang dalawa pagkatapos ng bawat pagbabago ng paglalagay, at itala ang pagkakakilanlan ng pinagmulan at destinasyong ginamit mo. Ang pagsubok na nagpapatunay lamang ng tagumpay ay hindi makikilala ang tamang tuntunin sa nawawalang tuntunin.
Pagkatapos ay subukan ang mga kasong nagbabago ng estado: muling pagkonekta, sesyong tumatagal lampas sa pag-ikot ng susi, at pagpalya ng aparato mismo. Ihambing ang mga update, kapasidad at pagbawi bilang bahagi ng parehong layout, dahil ang isang aparatong may dalang maraming lohikal na kontrol ay isang domain ng pagpalya na may maraming label. Kahit ang pangalawang kahon ay hindi malaya kapag ang pinagsasaluhang kredensyal sa administrasyon o walang limitasyong ruta ay tinalo ang hangganang dapat nitong likhain.
Idokumento ang endpoint, ang dinikripitong landas at ang kontrol na naglilimita nito. Ang tatlong linyang iyon ay nananatiling makabuluhan anuman ang itawag sa implementasyon.