Şifreli geçiş, taşıyıcıya erişim vermez

İki onaylı ağ geçidi, daha düşük güvenli bir ağın trafiğini kısıtlı bir taşıma ağı üzerinden taşır. Yükü şifrelemek, onu sıradan geçiş gözlemcileri için okunamaz tutar ve insanların önce tasarlayıp sonra üzerinde düşünmeyi bıraktığı kısım budur. Şifrelemenin yapmadığı şey, daha düşük güvenli tarafın hangi kaynaklara erişebileceğini tanımlamaktır. Tasarımın iki sınıra ihtiyacı vardır: biri taşınan konuşmanın çevresinde, diğeri taşıyıcının kendisine erişimin çevresinde.

Aşağıdaki adımları sırayla uygulayın ve herhangi bir adımdaki hatayı yapılandırma ayarı değil, tasarım değişikliği olarak ele alın.

Bir yapılandırmaya dokunmadan önce iki sınırı da tanımlayın

İlk sınır konuşmadır: hangi ağ geçidi çiftleri tünel kurabilir ve içinden hangi iç trafiğe izin verilir. İkincisi taşıyıcıdır: daha düşük güvenli konakların tünelin dışında hangi adreslere ve hizmetlere erişebileceğidir. Ekipler genellikle ilkini kurar, ikincisini ise zaten var olan herhangi bir yönlendirmeden miras alır ve böylece kısıtlı bir tasarım sessizce geniş bir tasarıma dönüşür. Bir inceleme, daha düşük güvenli bir konağın kimsenin onaylamadığı bir şeyle konuştuğunu bulduğunda bu miras olağan kök nedendir.

İkisini de adres, bağlantı noktası ve yön listeleri olarak yazın. Bir liste yazılamıyorsa sınır henüz tanımlanmamıştır.

Adım 1: dış tüneli kısıtlayın

Taşıyıcıya bakan arayüzde yalnızca tünelin ihtiyaç duyduğuna izin verin: iki ağ geçidi adresi arasında UDP 500 ve 4500 üzerinde IKE ve NAT geçişinin kullanılmadığı yerlerde ESP. O arayüze gelen diğer her şeyi, yönetim protokolleri dahil reddedin. ESP belirtimi koruma hizmetlerini kapsar; ağ geçitlerinin taşıyıcının hangi kendi hizmetlerini kullanabileceği hakkında hiçbir şey söylemez. Bunu açık bir izin listesi olarak ifade edin; böylece yeni yayımlanan bir taşıyıcı hizmeti varsayılan olarak erişilebilir olmasın.

Tasarımı eşleme anlaşması değil, geçiş tasarımı yapan kural kümesi budur.

Bunu ağ geçidi konsolundan değil, daha düşük güvenli taraftan kontrol edin. Oradaki bir konak, tünel açılmadan önce bile taşıyıcının DNS sunucusuna erişememelidir.

Adım 2: uzak ağ geçidinin ne teslim ettiğine karar verin

Uzak uçta, geri kazanılan trafik belirli bir yere gitmelidir. Hangi iç hizmetlere izin verildiğini, hangi kaynak aralıklarından geldiğini ve yanıtların simetrik olmasının beklenip beklenmediğini tanımlayın. Yönetim erişimini ayrıca değerlendirin, çünkü aynı ağ geçidi genellikle geçiş planının hiç parçası olmayan bir yönetim arayüzü sunar.

Başarılı şifre çözmede duran bir diyagram, en çok önem taşıyan kararı atlamıştır.

Adım 3: her katman için sahipliği koruyun

Geçiş donanımı hâlâ dış paketleri alıp ilettiği için yamalara ve kapasite planlamasına ihtiyaç duyar. Tünel uç noktaları korunan protokolü işler ve iç trafiği kendi iletme yoluna açar, bu yüzden kendi kurallarına ve kendi izlemesine ihtiyaç duyarlar. Son uygulamalar yükü işler ve opak bir yük, şifresi çözülmüş bir indirmenin zararsız olduğunun kanıtı değildir.

Her katmana bir sahip atayın. Sahibi olmayan katmanlar sürüklenenlerdir.

Adım 4: doğrulayın, sonra yetkili makama devredin

Dış yolu, tünel açıkken ve taşıyıcı kuralları yürürlükteyken doğrulayın. Ardından daha düşük güvenli tarafın erişmemesi gereken her kaynağı deneyin ve hatanın bir rotayı gizleyen zaman aşımı değil, ret olduğunu doğrulayın. Kullanılabilirliği ve kaynak sınırlarını da kontrol edin, çünkü şifreli bir bağlantı bile doyurulabilir.

Düzenlenmiş veya gizlilik dereceli ortamlar için tasarımı sorumlu güvenlik makamına götürün ve onun onaylı ayrıştırma mimarisini kullanın. Bir VPN yapılandırması ve kavramsal açıklama akreditasyon oluşturmaz. O adım evrak işi değildir; tasarımın var olmasına izin verilip verilmediğine karar verir.