Shifr ochilgandan keyin: VPN trafigingizni birinchi qaysi siyosat ko’radi

VPN oqimi mukammal shifrlangan va mukammal autentifikatsiya qilingan bo’lsa ham hech kim rejalashtirmagan joyga tushishi mumkin. Siz ulagan kabel ichki paketni qaysi qoida qayta ishlashini belgilamaydi; buni siyosat ilgagi va marshrut belgilaydi. Shuning uchun rack chizmasida bir xil ko’rinadigan ikki dizayn butunlay boshqacha ijroga ega bo’lishi mumkin. Ularning orasidan tanlash shifri ochilgan oqimni birinchi ko’radigan nazoratni nomlashdan boshlanadi.

Port bo’yicha emas, siyosat ilgagi bo’yicha qaror qiling

Har bir VPN platformasi yuborishdan oldin ma’lum nuqtada shifri ochilgan trafikni baholaydi, va bu nuqtaning konfiguratsiyada nomi bor. Bir platformada bu guruh siyosati filtri, boshqasida interfeys siyosati yoki zona juftligi, marshrutlovchi qurilmada esa shunchaki forward zanjiri bo’lishi mumkin. Qoidani ilgak bajaradi, kommutator porti esa faqat kabel tugaydigan joy. Ilgakni topish birinchi qaror, chunki qolgan hamma narsa unga nisbatan joylashuv.

Uskunani ko’rishdan oldin oqimni yozing: manba kim, qayerga boradi, qaysi protokol olib boradi va qaysi xizmatga ruxsat berilgan. So’ngra shu to’rt faktning har birini bajaradigan nazoratni toping.

Ikki yo’l, ijroning ikki xil hikoyasi

Ikki shakl keng tarqalgan va har biri boshqa talab uchun to’g’ri bo’lishi mumkin.

endpoint -> shared inside subnet -> server
endpoint -> dedicated transit -> policy firewall -> server subnet

Birinchi shakl darvozada kerakli hamma narsani bajarishi mumkin, agar siyosat shu manzil uchun yozilgan bo’lsa va serverning aylanib o’tadigan yo’li bo’lmasa. Ikkinchi shakl chegara qo’shadi, lekin marshrutlar va siyosat trafikni haqiqatan ham undan o’tkazsa. Oxirgi nuqta bilan bir segmentda turgan server o’ylab topilgan oraliq sakrashni hech qachon bosmasligi mumkin. Chizma niyatni, marshrut jadvali nima bo’lishini ko’rsatadi.

Chizma bilan emas, marshrut qidiruvi bilan tekshiring. Paket chiqadigan interfeys va u tanlaydigan keyingi sakrash ikkinchi shakl loyihadagidek ishlayotganini belgilaydi.

ip route get 10.30.7.20
sudo iptables -S FORWARD
sudo tcpdump -ni inside0 host 10.30.7.20

Topologiyani izolyatsiyadan ajrating

Tarmoqni baham ko’rish joyni ishonchsiz qilmaydi, alohida tranzit esa uni himoyalangan qilmaydi. Hal qiladigan narsa amalda qo’llanadigan cheklov, amalda bo’ladigan uzatish va har bir qismni kim boshqarishi. Kommutatorlarni sanash bu uchtadan hech biri haqida hech narsa demaydi. Siyosat va marshrutdan qaror qiling, topologiya qarorga ergashsin.

Trafik to’plamlarini ham alohida ko’rib chiqing. Masofaviy kirish hovuzlari, saytdan saytga prefikslar va xususiy liniya tarmoqlari bitta qurilmani baham ko’rib, baribir har xil qoidalar talab qilishi mumkin, chunki ularning kimligi va xavfi har xil. Bir to’plam uchun yozilgan qoida manzil rejasini baham ko’rganda qolganlarini jimgina qoplaydi.

Har bir joylashuv uchun nosozlik va boshqaruvni tekshiring

Har bir joylashuvning nosozlik usuli bor va foydali savol bu qism to’xtaganda nima hali ishlaydi. Bitta o’lik qurilmada bir necha mantiqiy interfeys mustaqil tiklanish bermaydi, bir xil quvvat yoki bir xil administratorni baham ko’radigan quyi xavfsizlik devori ikkinchi chegara emas. Boshqaruv yo’li qayerdan o’tishini so’rang, chunki faqat tunnel orqali yetib boriladigan konsol hech qanday tiklanish yo’li emas; ssh [email protected] true tunneldan tashqaridan ishga tushirish konsol unga bog’liq emasligini isbotlashning eng arzon yo’li. Bir platformaning guruh siyosati hujjati filtrini shifr ochilgandan keyin va shifrlashdan oldingi trafikka qo’yadi, bu har qanday mahsulotda izlash kerak bo’lgan xuddi shunday nomlangan ilgak.

Har bir nomzodning nosozlik hikoyasini ijro hikoyasi yoniga yozing. Tekshiruvda yutib, tiklanishda yutqazadigan joylashuv bu almashuv va uni voqea paytida topish o’rniga shunday qayd etish kerak.

Ruxsat etilgan va rad etilgan oqim bilan qabul qiling

Tasdiqlangan sinov rejasi bilan haqiqiy VPN manbasidan uch narsani tekshiring: ishlashi kerak bo’lgan dastur, ishlamasligi kerak bo’lgan resurs va javob qaytadigan yo’nalish. Rad etish siyosat ishlayotganining dalili, ruxsat etilgan oqim esa faqat yo’l borligini ko’rsatadi.

Tanlangan yo’lni va siyosat natijasini birga saqlang, chunki yo’lsiz natijani qayta hosil qilib bo’lmaydi, natijasiz yo’lni himoya qilib bo’lmaydi. Bu juftlik ulanish nuqtasini tanlash uchun qaysi kommutatsiya qatlami tabiatan xavfsizroq degan har qanday da’voga qaraganda ancha foydali.