Після розшифрування: яка політика першою бачить ваш VPN-трафік

Кабель нічого не каже про те, яке правило обробило потік. Назвіть гак політики й наступний перехід, а потім доведіть, що відповідь іде тим самим шляхом.

Потік VPN може бути ідеально зашифрований і ідеально автентифікований і все ж опинитися там, де ніхто не планував. Кабель, який ви вставляєте, не визначає, яке правило обробляє внутрішній пакет; це роблять гак політики й маршрут. Тому два проєкти, що виглядають однаково на схемі стійки, можуть мати зовсім різне виконання. Вибір між ними починається з називання контролю, який першим бачить розшифрований потік.

Вирішуйте за гаком політики, а не за портом

Кожна платформа VPN оцінює розшифрований трафік у певній точці перед його передаванням, і ця точка має імʼя в конфігурації. На одній платформі це фільтр групової політики, на іншій політика інтерфейсу або пара зон, а на маршрутизаторі це може бути просто ланцюг forward. Гак забезпечує правило, а порт комутатора — лише місце, де закінчується кабель. Знайти гак — перше рішення, бо все інше це розміщення щодо нього.

Перш ніж дивитися на обладнання, запишіть потік: хто джерело, куди він іде, який протокол його несе і яка служба дозволена. Потім знайдіть контроль, що забезпечує кожен із цих чотирьох фактів.

Два шляхи, дві різні історії виконання

Дві форми поширені, і кожна може бути правильною для різних вимог.

endpoint -> shared inside subnet -> server
endpoint -> dedicated transit -> policy firewall -> server subnet

Перша форма може забезпечити все потрібне на шлюзі, за умови що політика шлюзу написана для цього призначення і в сервера немає обхідного шляху. Друга додає межу, але лише якщо маршрути й політика справді пропускають трафік через неї. Сервер у тому самому сегменті, що й кінцева точка, може ніколи не піти уявним проміжним переходом. Схема показує задум, а таблиця маршрутів — що відбувається.

Перевіряйте пошуком маршруту, а не малюнком. Інтерфейс, через який пакет виходить, і вибраний наступний перехід вирішують, чи поводиться друга форма так, як задумано.

ip route get 10.30.7.20
sudo iptables -S FORWARD
sudo tcpdump -ni inside0 host 10.30.7.20

Відокремте топологію від ізоляції

Спільна підмережа не робить місце недовіреним, а виділений транзит не робить його захищеним. Вирішує фактично застосоване обмеження, фактично наявне пересилання і те, хто адмініструє кожну частину. Підрахунок комутаторів нічого не каже про жодне з трьох. Вирішуйте з політики й маршруту, а топологія нехай іде за рішенням.

Розглядайте групи трафіку окремо. Пули віддаленого доступу, префікси сайт-сайт і мережі виділених ліній можуть ділити один пристрій і все ж вимагати різних правил, бо їхня ідентичність і ризик різняться. Правило, написане для однієї групи, мовчки охоплює інші, коли вони ділять план адрес.

Перевіряйте відмову й керування для кожного розміщення

Кожне розміщення має режим відмови, і корисне питання — що ще працює, коли компонент зупиняється. Кілька логічних інтерфейсів на одному мертвому пристрої не дають незалежного відновлення, а нижчий міжмережевий екран із тим самим живленням або тим самим адміністратором не є другою межею. Запитайте, де проходить шлях керування, бо консоль, доступна лише через тунель, зовсім не шлях відновлення; ssh [email protected] true ззовні тунелю — найдешевший спосіб довести, що консоль від нього не залежить. Документація групової політики однієї платформи ставить фільтр на трафік після розшифрування і до шифрування, і це саме той іменований гак, який варто шукати в будь-якому продукті.

Запишіть історію відмови кожного кандидата поруч з історією виконання. Розміщення, що виграє на перевірці й програє на відновленні, це обмін, і його слід так і записати, а не виявляти під час інциденту.

Приймайте з дозволеним і забороненим потоком

З затвердженим планом тестування перевірте три речі з реального джерела VPN: застосунок, що має працювати, ресурс, що не має, і напрямок, з якого повертається відповідь. Відмова це доказ того, що політика задіяна, а дозволений потік доводить лише існування шляху.

Зберігайте вибраний шлях і результат політики разом, бо результат без шляху не відтворити, а шлях без результату не захистити. Ця пара значно корисніша для вибору точки підключення, ніж будь-яке твердження про те, який рівень комутації сам по собі безпечніший.

Схожі статті