VPN bilan bog‘langan ikki ofis o‘rtasidagi kirishni qanday cheklash mumkin
Saytlararo tunnel o‘zaro ishonch emas. Manba, manzil va xizmat matritsasini tuzing, uni shifri ochilgan trafikda qo‘llang va rad etishni ham isbotlang.
Saytlararo tunnel bitta savolga javob beradi, ikki ofis paket almasha oladimi, muhimini esa ochiq qoldiradi: qaysi filial qurilmasi qaysi markaziy xizmatga yeta oladi. Tunnelni o‘zaro ishonch deb bilish mehmon noutbuki moliyaviy server bilan bir yo‘lda qolishining sababidir. Yechim yaxshiroq tunnel emas, shifr ochilgandan keyin qo‘llanadigan aniq ruxsat ro‘yxatidir. Ushbu qo‘llanma o‘sha ro‘yxatni ta’rifdan isbotlangan rad etishgacha olib boradi.
Shu tartibda ishlang va quyidagi siyosat qadamlari o‘tmaguncha tunnel yo‘lini kengaytirmang.
Shlyuzga tegishdan oldin matritsani yozing
Foydali qator uchta narsani nomlaydi: manba guruhi, manzil xost yoki xizmat tarmog‘i, va ilova haqiqatan ishlatadigan protokol va port. Filial va ma’lumotlar markazi yozuv emas. Xususiy DNS va autentifikatsiya xizmatlari o‘z qatorlarini faqat ilova ularsiz ishlay olmaganida oladi.
Manbalarni subnet qulayligiga ko‘ra emas, rolga ko‘ra guruhlang: xodimlar, mehmonlar, ma’muriyat. Uchtasi bitta tekis LANni bo‘lishganda shlyuz ularni tarmoq qatlamida ajrata olmaydi, shuning uchun identifikatsiya nazorati yoki segmentatsiya birinchi kelishi kerak. So‘ng matritsani har bir qatorda egasi va ko‘rib chiqish sanasi bilan yozma shaklda qoldiring.
| Manba | Manzil | Xizmat | Qaror |
|---|---|---|---|
| filial xodimlari | bron ilovasi 10.10.5.10 | TCP 443 | shifrni ochuvchi shlyuzda ruxsat |
| filial xodimlari | serverlar ma’muriyati VLAN | har qanday | yashirin rad etish |
| mehmon Wi-Fi | har qanday markaziy diapazon | har qanday | tunneldan oldin rad et |
| ma’muriy sakrash xosti | serverlar VLAN | TCP 22 va 3389 | MFA bilan ruxsat, xost firewall yanada toraytiradi |
Paketlar shifri ochiladigan joyda qo‘llang
IKE va ESPga ruxsat beruvchi qoidalar faqat tashqi tunnelni quradi. Ichki trafik tunnel interfeysiga ochiq keladi, ruxsat ro‘yxatining o‘rni ham shu yerda: shifrni ochuvchi qurilmada yo‘naltirish zanjiri, standart tashlash, matritsaning har bir qatoriga bitta qoida. Linux shlyuzlarida bu yo‘naltirish yoqilgani va filtr qoidalari tunnel qurilmasida, jismoniy kanalda emasligini bildiradi, strongSwan yo‘naltirish qo‘llanmasi aytganidek.
Trafik selektorlari marshrutlash qarori, avtorizatsiya qarori emas. Ikki subnetni qamrab oluvchi keng selektor marshrutlash uchun to‘g‘ri bo‘lishi mumkin, firewall esa hali ham bitta xostga faqat TCP 443ga ruxsat beradi. Selektor tunnel uchun kelishiladi va unga nima kirishi mumkinligini tavsiflaydi, ma’lum bir qurilma nimani ishlatishi mumkinligini emas. Selektor keng bo‘lgani uchun hech qachon firewall qoidasini kengaytirmang.
iptables -A FORWARD -i tun0 -s 10.20.0.0/24 -d 10.10.5.10 -p tcp --dport 443 -j ACCEPT
iptables -A FORWARD -i tun0 -j DROPNAT va bir-birini qoplovchi subnetlar qoidalarni o‘zgartiradi
Filial shlyuzi tunneldan oldin har bir xostni bitta manzilga aylantirsa, manbaga asoslangan har bir qator o‘sha bitta manzilga qulaydi. Yoki tunnel trafigini aylantirishni to‘xtating, yoki qoidalar boshqa narsaga, masalan aylantirishdan oldin qayd etilgan asl manba manziliga tayanishi kerakligini tan oling. Uzoq tomon ham xuddi shu muammoga ega, chunki manzil xosti asl manzilni emas, NATdan keyingi manzilni ko‘radi.
Bir-birini qoplovchi diapazonlar boshqa tuzoqdir. Ikkalasi ham 192.168.1.0/24 ishlatadigan ikki ofisni bir tomonni xaritalamasdan bitta siyosat jadvalida tasvirlab bo‘lmaydi, xaritalash esa to‘qnashmaydigan manzillashning o‘rnini bosmaydi. Keyin ochishingiz kerak bo‘ladigan qoidalarni yozishdan oldin rejani tuzating.
Rad etishni isbotlang, faqat muvaffaqiyatni emas
Faqat ruxsat etilgan ilovani sinash juda oz narsani isbotlaydi, chunki yuqorida qayerdadir yumshoq qoida xuddi shu natijani beradi.
Oddiy filial qurilmasidan mo‘ljallangan xizmatga yetib boring va butun seans ishlashini tasdiqlang. So‘ng yopiq qolishi kerak bo‘lgan manzilni sinab ko‘ring, masalan filialga aloqasi yo‘q serverdagi ma’muriy portni, va uni tashlab yuborgan hisoblagich yoki jurnal yozuvini o‘qing. Qoidalar to‘plamini ishlashini tekshirish uchun o‘chirish sinovni bekor qiladi va siz qarab turganda shlyuzni ochiq qoldiradi.
Ro‘yxatni tirik saqlang
Ilovalar ko‘chadi, o‘z ilovasidan uzoq yashagan qoida esa egasi yo‘q teshikka aylanadi. Ko‘rib chiqish sanasini qatorga bog‘lang va xizmat manzil o‘zgartirganda selektor qamrovi va firewall qoidasini bir xil xizmat ko‘rsatish qadamida o‘zgartiring.
Tunnel ortida ham xost darajasidagi cheklovlar muhim: serverning o‘z firewalli filial diapazonini faqat u e’lon qiladigan xizmat uchun qabul qilishi kerak. Bir-biriga mos ikki qatlam to‘liq ishoniladigan bir qatlamdan osonroq audit qilinadi.