Sau khi giải mã: chính sách nào thấy lưu lượng VPN của bạn trước

Một luồng VPN có thể được mã hóa hoàn hảo và xác thực hoàn hảo mà vẫn đáp xuống nơi không ai đã lên kế hoạch. Sợi cáp bạn cắm không quyết định quy tắc nào xử lý gói bên trong; móc chính sách và tuyến đường mới quyết định điều đó. Vì vậy hai thiết kế trông giống nhau trên sơ đồ tủ rack có thể có cách thực thi hoàn toàn khác. Việc chọn giữa chúng bắt đầu bằng việc gọi tên kiểm soát đầu tiên nhìn thấy luồng đã giải mã.

Quyết định theo móc chính sách, không theo cổng

Mỗi nền tảng VPN đánh giá lưu lượng đã giải mã tại một điểm nào đó trước khi chuyển tiếp, và điểm đó có tên trong cấu hình. Trên một nền tảng đó là bộ lọc chính sách nhóm, trên nền tảng khác là chính sách giao diện hoặc cặp vùng, và trên thiết bị định tuyến nó có thể chỉ là chuỗi forward. Móc là thứ thực thi quy tắc, còn cổng chuyển mạch chỉ là nơi cáp kết thúc. Tìm ra móc là quyết định đầu tiên, vì mọi thứ khác là vị trí tương đối so với nó.

Trước khi xem phần cứng, hãy viết luồng ra: nguồn là ai, đi đâu, giao thức nào mang nó và dịch vụ nào được phép. Sau đó tìm kiểm soát thực thi từng điều trong bốn sự thật đó.

Hai tuyến, hai câu chuyện thực thi khác nhau

Hai dạng là phổ biến và mỗi dạng có thể đúng cho một yêu cầu khác nhau.

endpoint -> shared inside subnet -> server
endpoint -> dedicated transit -> policy firewall -> server subnet

Dạng thứ nhất có thể thực thi mọi thứ cần thiết tại cổng, miễn là chính sách được viết cho đích đó và máy chủ không có đường vòng. Dạng thứ hai thêm một ranh giới, nhưng chỉ khi tuyến và chính sách thực sự đưa lưu lượng đi qua nó. Một máy chủ cùng phân đoạn với điểm cuối có thể không bao giờ đi theo bước nhảy trung gian trong tưởng tượng. Sơ đồ cho thấy ý định, bảng tuyến cho thấy điều gì xảy ra.

Kiểm chứng bằng tra cứu tuyến chứ không bằng bản vẽ. Giao diện mà gói tin đi ra và bước nhảy tiếp theo mà nó chọn quyết định dạng thứ hai có hành xử như thiết kế hay không.

ip route get 10.30.7.20
sudo iptables -S FORWARD
sudo tcpdump -ni inside0 host 10.30.7.20

Tách tô-pô khỏi cách ly

Dùng chung một subnet không làm một nơi thành không đáng tin, và một tuyến riêng không làm nó được bảo vệ. Điều quyết định là giới hạn thực sự được áp, việc chuyển tiếp thực sự diễn ra và ai quản trị từng phần. Đếm số switch không nói gì về cả ba điều đó. Hãy quyết định từ chính sách và tuyến, rồi để tô-pô đi theo quyết định.

Cũng xử lý riêng các nhóm lưu lượng. Bể truy cập từ xa, tiền tố site-to-site và mạng đường riêng có thể dùng chung một thiết bị mà vẫn cần quy tắc khác nhau, vì danh tính và rủi ro của chúng khác nhau. Một quy tắc viết cho một nhóm sẽ âm thầm bao trùm các nhóm khác khi chúng dùng chung một kế hoạch địa chỉ.

Kiểm tra hỏng hóc và quản trị cho từng vị trí

Mỗi vị trí có một kiểu hỏng, và câu hỏi hữu ích là còn gì hoạt động khi một thành phần dừng. Nhiều giao diện logic trên một thiết bị đã chết không cho khả năng phục hồi độc lập, và một tường lửa phía sau dùng chung nguồn điện hoặc chung người quản trị không phải ranh giới thứ hai. Hỏi đường quản trị chạy ở đâu, vì một bảng điều khiển chỉ truy cập được qua đường hầm hoàn toàn không phải đường phục hồi; ssh [email protected] true từ bên ngoài đường hầm là cách rẻ nhất để chứng minh bảng điều khiển không phụ thuộc vào nó. Tài liệu chính sách nhóm của một nền tảng đặt bộ lọc trên lưu lượng sau giải mã và trước mã hóa, đúng kiểu móc có tên cần tìm trong bất kỳ sản phẩm nào.

Viết câu chuyện hỏng hóc của từng phương án bên cạnh câu chuyện thực thi. Một vị trí thắng khi kiểm tra và thua khi phục hồi là một sự đánh đổi, và nên được ghi lại như vậy thay vì phát hiện giữa một sự cố.

Chấp nhận bằng một luồng được phép và một luồng bị từ chối

Với kế hoạch kiểm thử đã được phê duyệt, hãy kiểm tra ba thứ từ nguồn VPN thật: một ứng dụng nên chạy, một tài nguyên không nên chạy, và hướng mà phản hồi quay về. Sự từ chối là bằng chứng chính sách đang hoạt động, còn luồng được phép chỉ chứng minh rằng có một đường đi.

Giữ lại tuyến đã chọn và kết quả chính sách cùng nhau, vì kết quả không có tuyến thì không thể tái lập và tuyến không có kết quả thì không thể biện hộ. Cặp đó hữu ích hơn nhiều cho việc chọn điểm gắn kết so với bất kỳ khẳng định nào về việc lớp chuyển mạch nào an toàn hơn về bản chất.