Ìwọlé láti VPN sí VLAN: kọ́ matrix kí o tó ṣe àwọn ìlànà

Bẹ̀rẹ̀ pẹ̀lú matrix, kì í ṣe syntax firewall. Table tí àwọn ipa wà ní ẹ̀gbẹ́ kan àti àwọn iṣẹ́ ní ẹ̀gbẹ́ kejì ni ẹni tí ó ni app kan lè yẹ̀wò, ẹni tí ó ni ààbò lè jíròrò rẹ̀, ẹnikẹ́ni tí ó bá di gateway mú sì lè gbé kalẹ̀. Àyẹ̀wò yẹn kéré ju kí a ṣe àtúnṣe àwọn ìlànà tí kò sí ẹni tí ó fohùn ṣọ̀kan lé lórí.

Wákàtí kan tí a fi kọ ọ́ máa ń dá àbò bo ọ̀sẹ̀ kan tí a máa fi walẹ̀ àwọn ìlànà ní ìgbà tí ó ń bọ̀. Àpẹrẹ náà sọ nípa ẹni tí ó dé iṣẹ́ wo, ìyẹn sì ni apá tí ó máa ń dúró lẹ́yìn àtúnṣe nọ́mbà.

Ìgbésẹ̀ 1: dárúkọ àwọn ipa kí o tó dárúkọ àwọn nẹ́tíkì

Bẹ̀rẹ̀ pẹ̀lú àwọn ènìyàn, kì í ṣe switch. Kọ gbogbo ẹgbẹ́ tí ó máa ń so mọ́ ọ̀nà jíjìn àti gbólóhùn kan ṣoṣo tí ó ṣàlàyé ohun tí ẹgbẹ́ yẹn ń ṣe, bíi àwọn òṣìṣẹ́ ilé ìṣúra tí ó ń ka ìpele ọjà tàbí alágbàṣe tí ó ń tọ́jú ìsopọ̀ kan. Tí àwọn ẹgbẹ́ méjì bá máa gba ìwọlé kan náà, wọ́n jẹ́ ipa kan fún ètò yìí.

Dúró níbí tí ipa kan bá wà nítorí chart ìṣètò nìkan. Ipa tí kò ní àìní iṣẹ́ tirẹ̀ máa ń di ìlà àwọn sẹ́ẹ̀lì tí ó jọra, àwọn ìlà tí ó jọra sì máa ń tàn ẹnìkan láti fún ní gbogbo subnet kan lẹ́yìn náà fún ìrọ̀rùn. Pín nípa ohun tí àwọn ènìyàn ń ṣe, kì í ṣe nípa ẹni tí ó ń fi ọwọ́ sí ìnáwó wọn. Àwọn ipa mẹ́fà máa ń pọ̀ jù fún ọ́fíìsì kékeré, mẹ́ta sì máa ń tọ́.

Ìgbésẹ̀ 2: yí sẹ́ẹ̀lì kọ̀ọ̀kan padà sí gbólóhùn iṣẹ́

Sẹ́ẹ̀lì tí ó kọ «Àwọn app» kò lè ṣe àyẹ̀wò. Sẹ́ẹ̀lì tí ó kọ «HTTPS sí host ERP ní 443, láti inú àkójọ àwọn òṣìṣẹ́» lè ṣe àyẹ̀wò. Rọ́pò gbogbo orúkọ nẹ́tíkì pẹ̀lú ibi tí a ń lọ, protocol àti port, kí o sì fi ìgbẹ́kẹ̀lé tí iṣẹ́ kò lè ṣiṣẹ́ láìsí kún un, bíi olùyẹ́jú inú tàbí olùpèsè ìdánimọ̀.

Ọ̀wọ̀n ìtọ́sọ́nà máa ń mú àwọn àṣìṣe tí ó gbówó lórí jù. Ìyọ̀ǹda fún àwọn òṣìṣẹ́ láti ṣí app kan kò túmọ̀ sí ìyọ̀ǹda fún àwọn server app láti ṣí àwọn ìsopọ̀ padà sí laptop àwọn òṣìṣẹ́, àti ìlànà tí ó ní ipò tí ó gba ìtọ́sọ́nà àkọ́kọ́ ni a máa ń kà bíi ẹni tí ó gba èkejì.

Ìgbésẹ̀ 3: pinnu ibi tí ìdánimọ̀ ti di ìlànà

Ẹnìkan gbọdọ̀ yí ìpàdé tí a ti jẹ́rìí padà sí ipa tí gateway lè fipá mú. Àwọn àṣàyàn tí a ṣe àtìlẹ́yìn ní ìlànà ẹgbẹ́ tí backend ìjẹ́rìí ń pèsè, àwọn ànímọ́ ìpàdé tí a gbára lé, tàbí àwọn àkójọ àdírẹ́sì ọ̀tọ̀ọ̀tọ̀ fún ipa kọ̀ọ̀kan. Àwọn mẹ́tẹ̀ẹ̀ta ló ń ṣiṣẹ́; àmì tí client ń fi ránṣẹ́ kò ṣiṣẹ́. Yan ọ̀nà tí gateway rẹ kọ sílẹ̀, kì í ṣe èyí tí àkọsílẹ̀ forum ṣàpèjúwe.

Fífi àdírẹ́sì tí ó kàn dàbí ẹni tí ó jẹ́ ti VLAN fúnni ni ìdáhùn òfo kan náà nínú aṣọ mìíràn. Ìtọ́sọ́nà Netgate lórí àwọn ìlànà firewall OpenVPN mú ìpínyà yẹn ṣe kedere: gbígbà fún tunnel láti gòkè wá yàtọ̀ sí gbígbà fún ìrìnàjò láti kọjá nínú rẹ̀.

Kọ irú ọ̀nà tí o yàn àti ibi tí a ti ṣètò rẹ̀. Nígbà tí ipa kan bá yí padà, àkọsílẹ̀ yẹn ni ìyàtọ̀ láàrin àtúnṣe kan àti wíwá kiri láàrin interface mẹ́ta. Ó tún sọ fún olùṣàyẹ̀wò ibi tí ó yẹ kí ó wò kọ́kọ́.

Ìgbésẹ̀ 4: ṣàkíyèsí àdírẹ́sì orísun tí ibi tí a ń lọ rí

Ìlànà gbígbéjáde gbọdọ̀ bá orísun gidi mu ní ààlà. Tí gateway bá yí àwọn client VPN padà sí àdírẹ́sì tirẹ̀, gbogbo firewall tí ó wà nísàlẹ̀ máa ń rí orísun kan ṣoṣo, ó sì máa ń pàdánù agbára láti pinnu gẹ́gẹ́ bí ipa. Tí ó bá pa àdírẹ́sì client mọ́, ọ̀nà ìpadà gbọdọ̀ wà fún àkójọ yẹn.

Dán àwọn ìtọ́sọ́nà méjèèjì wò kí o tó kọ àwọn ìlànà ìkẹyìn, kí o sì kọ orísun tí a ṣàkíyèsí lẹ́gbẹ̀ẹ́ sẹ́ẹ̀lì kọ̀ọ̀kan. Ṣe àyẹ̀wò kan náà láti ipa méjì tí ó yàtọ̀ kí o sì fi àbájáde wé. Tí àwọn méjèèjì bá fi àdírẹ́sì gateway hàn, ìyàtọ̀ ipa ti pàdánù tẹ́lẹ̀. Matrix tí ó gbà pé a pa àwọn àdírẹ́sì mọ́ nígbà tí gateway ń ṣe ìtumọ̀ orísun yóò kùnà ní ACL àkọ́kọ́ nísàlẹ̀.

Ìgbésẹ̀ 5: dán sẹ́ẹ̀lì kọ̀ọ̀kan wò kí o tó gbé e jáde

Yí sẹ́ẹ̀lì tí a gbà kọ̀ọ̀kan padà sí iṣẹ́ aṣojú kan, kí o sì yí sẹ́ẹ̀lì tí a kọ̀ kọ̀ọ̀kan padà sí ọ̀ràn òdì. Ṣe àwọn méjèèjì láti ọ̀dọ̀ client tí ó wà nínú ipa gidi, kì í ṣe láti console gateway, nítorí console máa ń forí ọ̀nà tí o ń dán wò.

# allowed: staff role reaches the ERP endpoint
curl -sS -o /dev/null -w '%{http_code}\n' --max-time 5 https://erp.internal.example/health

# denied: the same role must not reach a management host
nc -vz -w 3 10.30.5.11 22

# observed source address at the destination
sudo tcpdump -ni any 'tcp port 443 and host 10.30.20.15'

Ọ̀ràn òdì tí ó so mọ́ jẹ́ àwárí, kì í ṣe àṣejáde, ibi rẹ̀ sì wà nínú matrix gẹ́gẹ́ bí sẹ́ẹ̀lì tí ó kùnà títí tí a ó fi tún ìlànà náà ṣe. Pa àwọn àṣẹ àyẹ̀wò mọ́ lẹ́gbẹ̀ẹ́ table kí olùṣàyẹ̀wò tó ń bọ̀ lè tún wọn ṣe dípò kí ó tún ìrònú náà kọ́.

Table tí ó ti parí máa ń gbé pẹ́ ju gateway tí a kọ ọ́ fún lọ. Àwọn ìlànà máa ń yí pẹ̀lú firmware àti olùpèsè, nígbà tí ìlà tí ó sọ pé alágbàṣe dé iṣẹ́ iṣẹ́ akanṣe kan máa ń jẹ́ òtítọ́ títí tí iṣẹ́ yẹn yóò fi yí padà.