Paano limitahan ang pag-access sa pagitan ng dalawang opisina na konektado sa VPN

Sinasagot ng site-to-site tunnel ang isang tanong, kung nakakapagpalitan ng packet ang dalawang opisina, at iniiwang bukas ang mahalaga: aling aparato ng sangay ang makakaabot sa aling sentral na serbisyo. Ang ituring ang tunnel bilang mutual na pagtitiwala ang dahilan kung bakit ang laptop ng bisita ay napupunta sa parehong landas ng financial server. Ang solusyon ay hindi mas mabuting tunnel, kundi isang tahasang listahan ng pahintulot na ipinatutupad pagkatapos ng decryption. Dinadala ng gabay na ito ang listahan mula sa depinisyon hanggang sa napatunayang pagtanggi.

Magtrabaho sa ganitong pagkakasunod-sunod, at huwag palawakin ang ruta ng tunnel hanggang sa makapasa ang mga hakbang ng patakaran sa ibaba.

Isulat ang matrix bago hawakan ang gateway

Ang kapaki-pakinabang na hilera ay nagngangalan ng tatlong bagay: isang pangkat ng pinagmulan, isang host o network ng serbisyo ng destinasyon, at ang protocol at port na aktuwal na ginagamit ng aplikasyon. Ang sangay at data center ay hindi entry. Ang pribadong DNS at mga serbisyo ng authentication ay may sariling hilera lamang kapag hindi makakagawa ang aplikasyon nang wala ang mga ito.

Pangkatin ang pinagmulan ayon sa papel at hindi ayon sa kaginhawahan ng subnet: kawani, bisita, administrasyon. Kapag ang tatlo ay nagbabahagi ng isang flat na LAN, hindi sila maihihiwalay ng gateway sa network layer, kaya ang mga kontrol ng pagkakakilanlan o segmentasyon ay dapat mauna. Pagkatapos ay ilagay ang matrix sa sulatin na may may-ari at petsa ng pagsusuri sa bawat hilera.

Ipatupad kung saan nade-decrypt ang mga packet

Ang mga patakarang nagpapahintulot sa IKE at ESP ay bumubuo lamang ng panlabas na tunnel. Dumarating ang panloob na trapiko nang lantad sa interface ng tunnel, at doon nararapat ang listahan ng pahintulot: isang forwarding chain sa aparatong nagde-decrypt, default na pagtatapon, isang patakaran bawat hilera ng matrix. Sa mga gateway na Linux, ibig sabihin nito ay naka-enable ang forwarding at ang mga patakaran ng filter ay nasa aparato ng tunnel, hindi sa pisikal na uplink, gaya ng ipinapaliwanag ng gabay ng strongSwan sa forwarding.

Ang mga selector ng trapiko ay desisyon sa routing, hindi sa awtorisasyon. Ang malawak na selector na sumasaklaw sa dalawang subnet ay maaaring tama para sa routing habang ang firewall ay pinapayagan pa rin ang TCP 443 lamang patungo sa isang host. Ang selector ay pinag-uusapan para sa tunnel at inilalarawan kung ano ang maaaring pumasok dito, hindi kung ano ang maaaring gamitin ng isang partikular na aparato. Huwag kailanman palawakin ang patakaran ng firewall dahil malawak ang selector.

iptables -A FORWARD -i tun0 -s 10.20.0.0/24 -d 10.10.5.10 -p tcp --dport 443 -j ACCEPT
iptables -A FORWARD -i tun0 -j DROP

Binabago ng NAT at magkakapatong na subnet ang mga patakaran

Kapag isinalin ng gateway ng sangay ang bawat host sa isang address bago ang tunnel, ang bawat hilerang nakabatay sa pinagmulan ay gumuguho sa nag-iisang address na iyon. Itigil ang pagsasalin ng trapiko ng tunnel, o tanggapin na ang mga patakaran ay dapat umasa sa iba, tulad ng orihinal na address ng pinagmulan na naitala bago ang pagsasalin. Ang malayong dulo ay may parehong problema, dahil nakikita ng destinasyon ang address pagkatapos ng NAT at hindi ang orihinal.

Ang magkakapatong na saklaw ay ang isa pang bitag. Dalawang opisina na parehong gumagamit ng 192.168.1.0/24 ay hindi maaaring ilarawan sa isang talahanayan ng patakaran nang hindi nagmamapa ng isang panig, at ang pagmamapa ay hindi kapalit ng pag-address na hindi nagbabanggaan. Ayusin ang plano bago isulat ang mga patakarang kailangan mong kalasin mamaya.

Patunayan ang isang pagtanggi, hindi lamang isang tagumpay

Ang pagsubok lamang sa pinapayagang aplikasyon ay napakakaunting pinatutunayan, dahil ang maluwag na patakaran sa isang lugar sa itaas ay nagbibigay ng parehong resulta.

Mula sa ordinaryong aparato ng sangay, abutin ang nilalayong serbisyo at kumpirmahin na gumagana ang buong sesyon. Pagkatapos ay subukan ang destinasyong dapat manatiling sarado, tulad ng administratibong port sa isang server na walang kinalaman ang sangay, at basahin ang counter o log entry na nagtapon nito. Ang patayin ang set ng patakaran para tingnan kung gumagana ay nagpapawalang-bisa sa pagsubok at iniiwang bukas ang gateway habang nakatingin ka.

Panatilihing buhay ang listahan

Gumagalaw ang mga aplikasyon, at ang patakarang nakalalamang sa sarili nitong aplikasyon ay nagiging butas na walang may-ari. Ikabit ang petsa ng pagsusuri sa hilera, at palitan ang saklaw ng selector at ang patakaran ng firewall sa parehong hakbang ng maintenance kapag lumipat ng address ang isang serbisyo.

Mahalaga pa rin ang mga paghihigpit sa antas ng host sa likod ng tunnel: dapat tanggapin ng sariling firewall ng server ang saklaw ng sangay para lamang sa serbisyong inilalathala nito. Ang dalawang layer na magkasundo ay mas madaling i-audit kaysa isang layer na lubos na pinagkakatiwalaan.