Shifrdan chiqqan yo'lni chizing: VPN qurilmasi siyosatni qayerda qo'llaydi
Shifrlangan tinglovchida to'xtaydigan diagramma muhim siyosatni ko'rsatmaydi. Shifrdan chiqqan yo'lni chizing, keyin so'rov nimani kesib o'tishiga qarab joylashuvlarni solishtiring.
Yetkazib beruvchilarning diagrammalari odatda shifrlangan tinglovchida to'xtaydi, chunki ommaviy manzilga ega qism aynan shu. Xavfsizlik holatini belgilovchi savol — shifr ochilgandan keyin nima bo'ladi, paket oddiy IP bo'lib, marshrutlash jadvali ruxsat bergan barcha joyga yeta oladi. Agar bu qismni hech kim chizmagan bo'lsa, uning egasi ham yo'q. Quyidagi qo'llanma avval shuni chizadi, so'ngra shifrdan chiqqan so'rov aslida nimani kesib o'tishiga qarab joylashuvlarni solishtiradi.
Paketni shifr ochilgandan keyin chizing, undan oldin emas
Tashqi yo'l — yetkazib beruvchilar hujjatlashtiradigan qism: ommaviy so'nggi nuqta, ulanishni qabul qiladigan transport siyosati va uni tugatadigan xizmat. Ichki yo'l paket tunnel sarlavhasini yo'qotgan lahzada boshlanadi, undan keyin tunnel bilan hech qanday aloqasi bo'lmagan marshrutlash va filtrlash qoidalari uni boshqaradi. Ikkalasini bitta sahifaga qo'ying, chunki faqat birinchisini ko'rsatadigan diagramma qabul va avtorizatsiya bitta qaror degan ishorani beradi. Unday emas, va aynan ular orasidagi bo'shliq ko'p joylashuvlar xato qiladigan joy.
Ichki qismni o'q sifatida emas, nomlangan qurilma turlari bilan raqamlangan ketma-ketlik sifatida yozing. O'q so'rov filtrdan o'tish-o'tmasligini yashiradi, o'tish yoki o'tmaslik esa butun savol. Quyidagi har bir qadam qurilma va u yerda amal qiladigan qoidalar to'plamini nomlaydi, shuning uchun yo'q filtr chiziq bilan ishora qilingan narsa emas, bo'shliq sifatida ko'rinadi.
- Masofaviy mijoz: tunneli yaratadigan foydalanuvchi qurilmasi.
- Chekka siyosati: tashqi transportni ommaviy tinglovchiga qabul qiladigan qoidalar to'plami.
- Tugatuvchi qurilma: paketni dekapsulyatsiya qilib, oddiy IP ga topshiradigan VPN so'nggi nuqtasi.
- Ichki filtr: mijozdan xizmatga trafikni cheklaydigan yo'naltirish yoki xavfsizlik guruhi qoidalari to'plami.
- Ilova xosti: shifrdan chiqqan so'rovni qabul qiladigan xizmat.
Ikki siyosat, ikki egasi
Tashqi siyosat kim tunnel o'rnatishi mumkinligiga javob beradi va tugatuvchi xizmatga transportni qabul qiladigan qoidalarda ifodalanadi. Ichki siyosat autentifikatsiyadan o'tgan foydalanuvchi qaysi xizmatga yeta olishiga javob beradi va yo'naltirish qoidalarida, xavfsizlik guruhlarida yoki ilovaning o'zida yashaydi. Bitta qurilma ikkalasini ham joylashtirishi mumkin, ko'p qurilmali loyihada ham ikkalasi bor. Ularni alohida nomlash foydalanuvchi ilovaga yeta olmaganida qaysi biri ishdan chiqqanini aytish imkonini beradi.
Sertifikatlar va ko'p faktorli autentifikatsiya kabi qabul nazoratlari faqat shaxsga javob beradi, boshqa hech narsaga. Ular joylashuvni belgilamaydi va foydalanuvchi ichkariga kirgandan keyin resurs bo'yicha ruxsat bermaydi.
Joylashuv so'rov qaysi chegarani kesib o'tishini belgilaydi
Uch joylashuv keng tarqalgan va har biri shifrdan chiqqan so'rov qaysi chegarani kesib o'tishini o'zgartiradi. Ularni u yerda nima tugashi, nima ochiq matnni ko'rishi, qaysi nazorat hali ham so'rovni rad eta olishi va qurilma bilan birga nima ishdan chiqishiga qarab solishtiring. Quyidagi jadval umumiy savol o'rniga shu to'rt ustunni ishlatadi, chunki har bir javob alohida loyihalash qarori.
| Placement | What terminates there | What sees plaintext | Which control can still deny | Failure domain |
|---|---|---|---|---|
| Termination in a dedicated segment | A dedicated VPN endpoint | The endpoint and anything on its segment | The filter between that segment and the application | The segment path can bypass the filter if no rule sits on it |
| Termination on the edge firewall | The firewall's public listener | The firewall, after decapsulation | The firewall's inner rule set | Admission and inspection fail together |
| Termination on the protected LAN | The appliance's LAN leg | Every host on the protected LAN | Only a host control or a downstream gateway | The appliance and the protected hosts fail together |
Uchinchi joylashuv — ijroni jimgina olib tashlaydigan joylashuv, chunki himoyalangan segmentdagi qism qurilmaga diagramma ko'rsatmasligi mumkin bo'lgan to'g'ridan-to'g'ri yo'l beradi. Rasmni emas, interfeys va marshrutlarni tekshiring: ip route get 10.20.5.10 paket qaysi interfeysdan chiqishini xabar qiladi va javob ko'pincha loyiha taxmin qilgani emas. O't o'chirgichning holatlar orasidagi trafikni nazorat qilishdagi klassik roli, quyidagi hujjatda tasvirlanganidek,NIST SP 800-41 bu yerda foydali sinov, chunki himoyalangan tarmoqqa cheksiz qismi bo'lgan qurilma ko'p narsani nazorat qilmaydi. Marshrut qidiruvi taqdimotdagi diagrammadan halolroq diagramma.
Administratsiya o'zining aniq ruxsat etilgan yo'liga tegishli. Foydalanuvchilarga ilovaga yetishishga ruxsat berish hech qachon ularga qurilmaning boshqaruv interfeysiga yetishishga ruxsat berishni talab qilmaydi, va ikkala ruxsat turli qoidalardan berilishi kerak. Ikkala yo'lni alohida auditdan o'tkazing, chunki umumiy qoida qaysi biri ochilganini yashiradi.
Tarjima quyi qoidalar nimani ko'rishini o'zgartiradi
Manba tarjimasi qulay va u axborotni yo'q qiladi. masquerade dan keyin har bir mijoz qurilma kabi ko'rinadi, shuning uchun foydalanuvchilarni ajratish uchun yozilgan quyi qoida endi buni qila olmaydi. Bu faqat jurnal muammosi emas, bu siyosat muammosi: mijoz manziliga bog'langan qoida jimgina shlyuzga bog'langan qoidaga aylanadi. Agar foydalanuvchi bo'yicha siyosat muhim bo'lsa, manbani saqlang yoki siyosatni tarjimadan oldin qo'llang.
Javob yo'li ham xuddi shunday tekshiruvga loyiq. Manzil qaytish paketi uchun qaysi marshrutni tanlashini yozib qo'ying, chunki nosimmetrik qaytish holatli tekshiruvni chetlab o'tadi va o'rnatilib keyin tiqilib qoladigan ulanish hosil qiladi. Ikkala yo'nalish ham siz chizgan chegarani kesib o'tishi kerak, aks holda chegara — bezak.
sudo tcpdump -ni inside0 host 10.20.5.10
ip route get 10.20.5.10
sudo iptables -t nat -S POSTROUTINGRuxsat etilgan va rad etilgan operatsiyani qabul qiling
Boshqaruv xostidan emas, haqiqiy masofaviy mijozdan sinang, chunki boshqaruv xosti odatda foydalanuvchi hech qachon bo'lmaydigan joyda o'tiradi. Bitta ruxsat etilgan operatsiya yo'l ishlashini, bitta rad etilgani esa siyosat umuman nima qilayotganini isbotlaydi. Har bir joylashuv o'zgarishidan keyin ikkalasini ishga tushiring va ishlatilgan manba identifikatori va manzilni yozib qo'ying. Faqat muvaffaqiyatni isbotlaydigan sinov to'g'ri qoidani yo'q qoidadan ajrata olmaydi.
So'ngra holatni o'zgartiradigan holatlarni sinang: qayta ulanish, kalit aylanishidan uzoq yashaydigan sessiya va qurilmaning o'zi ishdan chiqishi. Yangilanish, sig'im va tiklashni bir xil tartibning qismi sifatida solishtiring, chunki bir nechta mantiqiy nazoratni ko'targan bitta qurilma bir nechta yorliqli bitta nosozlik domeni. Umumiy administrativ hisob ma'lumoti yoki cheksiz marshrut yaratishi kerak bo'lgan chegarani yengsa, ikkinchi quti ham mustaqil emas.
So'nggi nuqta, shifrdan chiqqan yo'l va uni cheklaydigan nazoratni hujjatlashtiring. Bu uch satr ijro qanday nomlanishidan qat'i nazar mazmunli qoladi.