Basisprincipes van netwerkbeveiliging

Een netwerkaanval buit een zwakke plek uit om schade aan te richten. Door de zwakke plek en de belaste hulpbron te benoemen, kun je een beveiligingsmaatregel kiezen die daadwerkelijk werkt.

Koppel de aanval aan de zwakke plek

Een dreiging kan schade veroorzaken: een aanvaller, iemand van binnenuit of een brand. Een kwetsbaarheid is een zwakke plek, zoals oude firmware of een standaardwachtwoord. Een exploit is de techniek of code die tegen die zwakke plek wordt gebruikt. Een risicobeperkende maatregel neemt de zwakke plek weg of beperkt het effect ervan. Bij een kwetsbare VPN-inlogdienst is de fout de kwetsbaarheid, de aanvalscode de exploit en het installeren van de reparatie van de leverancier de risicobeperkende maatregel. Door de bereikbare dienst uit te schakelen, kun je de blootstelling verminderen terwijl de update wordt geregeld.

Het aanvalsoppervlak is het geheel van plaatsen waar een aanvaller het kan proberen: diensten, poorten, accounts, apparaten en draadloze netwerken. Door een ongebruikte beheerdienst uit te schakelen, neem je een toegangspunt weg. Als je een extra wachtwoord aan die ongebruikte dienst toevoegt, blijft het toegangspunt bestaan.

Onderscheid drie soorten overbelasting

Een DoS-aanval maakt een dienst onbeschikbaar. Een DDoS-aanval gebruikt veel bronnen, vaak gecompromitteerde apparaten die als botnet worden bestuurd. Als je één adres blokkeert, blijven de andere bronnen verkeer versturen.

Bij een SYN-flood stoppen veel TCP-handshakes nadat de server SYN-ACK heeft verstuurd. De laatste ACK komt nooit aan, waardoor halfopen verbindingen in een wachtrij blijven wachten. Met SYN-cookies kan de server het bijhouden van de verbindingsstatus uitstellen totdat de client de handshake voltooit. Ook een begrenzing van het aantal verbindingen per tijdseenheid en kortere time-outs kunnen de belasting verminderen.

Doorloop reflectie en versterking

Bij reflectie vervalst een aanvaller het bronadres van het slachtoffer in verzoeken aan andere servers. Die servers antwoorden aan het slachtoffer. Bij versterking zijn de antwoorden groter dan de verzoeken. Diensten op basis van UDP zijn aantrekkelijk omdat er geen initiële verbindingshandshake is om het opgegeven bronadres te controleren.

Stel dat 500 bots elk 4 Mbit/s aan verzoeken versturen. Samen versturen ze 2.000 Mbit/s aan verzoeken, oftewel 2 Gbit/s. Een verzoek van 60 bytes dat een antwoord van 3.000 bytes oplevert, geeft een versterkingsfactor van 50. Zonder rekening te houden met andere overhead ontvangt het slachtoffer ongeveer 100 Gbit/s. De grote antwoorden komen van de reflecterende servers, hoewel de aanvaller veel minder verkeer heeft verstuurd.

Plaats de beveiliging vóór het knelpunt

Als de inkomende verbinding al vol is, ontvangt de firewall van de organisatie alleen het verkeer dat door die verbinding komt. Aanvalspakketten daar verwerpen kan de eerder verloren capaciteit niet herstellen. De internetprovider of een cloudfilterdienst moet een grote volumetrische verkeersvloed filteren voordat die de bedrijfsverbinding bereikt. Door open DNS-resolvers te voorkomen en vervalste bronadressen te filteren, wordt een netwerk ook minder bruikbaar voor aanvallers.

Een verkeerspiek alleen is niet genoeg om een aanval te herkennen. Vergelijk aantallen verbindingen, halfopen sessies, verzoekpatronen en CPU-belasting met de normale prestatiereferentie. Ook een druk verkoopevenement kan de legitieme vraag vergroten.

Lokale netwerken vertrouwen op geleerde informatie: via welke poort een MAC-adres bereikbaar is, welk MAC-adres bij een gateway hoort en welke server een naam beantwoordt. Aanvallers kunnen die informatie vervangen en verkeer omleiden.

Herken een tussenpositie

Een tussenpersoonaanval, ook wel een man-in-the-middle-aanval genoemd, laat communicatie via de aanvaller lopen. De aanvaller kan onversleuteld verkeer lezen, wijzigen of verwerpen. HTTPS en SSH beschermen de inhoud ook als het pad over een niet-vertrouwd apparaat loopt, mits de identiteitscontroles slagen.

Bij MAC-flooding worden veel vervalste bron-MAC-adressen verstuurd om de adrestabel van een switch te vullen. Frames voor onbekende bestemmingen kunnen dan via flooding binnen het VLAN worden verspreid, waardoor andere poorten verkeer ontvangen. Poortbeveiliging beperkt de adressen die op een poort worden geleerd. Het effect van een volle tabel hangt af van de switch. Controleer daarom het gedrag in plaats van aan te nemen dat elk frame zichtbaar wordt.

Volg een vervalste ARP-koppeling

ARP koppelt een lokaal IPv4-adres aan een MAC-adres. Bij ARP-spoofing verstuurt een aanvaller valse ARP-berichten. ARP-vergiftiging is de valse cachevermelding die daaruit volgt.

Een pc op 192.168.1.50 verwacht dat gateway 192.168.1.1 MAC-adres 00:1A:2B:3C:4D:5E heeft. Een vervalst antwoord beweert dat de gateway 00:AA:BB:CC:DD:EE gebruikt. De pc stuurt frames voor de gateway nu naar dat adres. Als de aanvaller ze doorstuurt, kan de verbinding blijven werken terwijl de aanvaller ertussen zit. Vergelijk arp -a met het bekende adres van de gateway; het eigen IP-adres van de aanvaller hoeft niet in de cache te staan. Dynamische ARP-inspectie (DAI) weigert koppelingen die niet door de controles komen.

Onderscheid drie manieren om clients om te leiden

Een valse DHCP-gateway kan gerouteerd verkeer via de aanvaller laten lopen. Een valse DNS-server kan geselecteerde namen omleiden. DHCP-snooping blokkeert serverantwoorden van niet-vertrouwde poorten. DNSSEC controleert ondertekende DNS-gegevens; het versleutelt geen DNS-verkeer. Een vergiftigde DNS-cachevermelding blijft bestaan totdat die wordt verwijderd of verloopt, terwijl een kwaadaardige vermelding in het hosts-bestand blijft staan totdat die wordt verwijderd.

Controleer draadloze grenzen en VLAN-grenzen

Een onbevoegd accesspoint wordt zonder toestemming op het bekabelde netwerk aangesloten en opent een ongewenste draadloze toegang tot dat netwerk. Een kwaadaardige netwerkkopie kopieert een legitieme SSID om clients aan te trekken. Draadloze bewaking, 802.1X op bekabelde poorten en correcte controle van het certificaat van de authenticatieserver helpen deze aanvallen voorkomen. Een bekende netwerknaam alleen bewijst niet dat een accesspoint vertrouwd is.

VLAN-hopping omzeilt de bedoelde routeringsgrens. Switchspoofing slaagt wanneer een eindapparaat over een trunk onderhandelt. Dubbele tagging buit een access-VLAN uit dat ook een ongetagd native VLAN van een trunk is: één switch verwijdert de buitenste tag, waardoor de binnenste doeltag zichtbaar wordt voor de volgende switch. Dit pad werkt meestal in één richting. Vaste accesspoorten, statische trunks, uitgeschakelde onderhandeling en een ongebruikt native VLAN sluiten deze paden af.

Een aanvaller kan netwerktoegang krijgen door iemand te overtuigen, een wachtwoord te stelen of een apparaat aan te sluiten. Een technisch goed werkende firewall kan niet controleren of een beller die beweert van de helpdesk te zijn de waarheid spreekt.

Lees het verzoek voordat je reageert

Social engineering gebruikt urgentie, gezag of behulpzaamheid om toegang te verkrijgen. Phishing gebruikt misleidende berichten; gerichte phishing richt zich op een bepaalde persoon of functie. Telefonische phishing gebruikt telefoongesprekken en sms-phishing gebruikt tekstberichten. Een dringend bericht dat je vraagt in te loggen op een onbekend domein is een reden om te stoppen en het verzoek via een bekend kanaal te controleren. Meld het bericht en open de dienst via het bekende adres.

Toekijken terwijl iemand een wachtwoord intypt, heet meekijken. Weggegooide documenten of apparatuur doorzoeken heet afval doorzoeken. Een pashouder door een afgesloten deur volgen heet meelopen. Deze methoden maken gebruik van dagelijkse werkgewoonten. Daarom zijn procedures voor toegangspassen, veilige afvoer en begeleiding van bezoekers belangrijk naast softwarematige maatregelen.

Onderscheid malware op basis van de werking

Deze aanduidingen kunnen overlappen. WannaCry was ransomware die zich in mei 2017 ook als worm verspreidde via kwetsbare SMBv1-diensten op TCP 445. Beveiligingsupdates installeren, SMBv1 uitschakelen, die dienst filteren en netwerksegmenten scheiden beperkten de verspreiding. Bescherming van eindapparaten helpt malware detecteren, maar nieuwe dreigingen en wachtwoorddiefstal vereisen nog steeds andere maatregelen. Back-ups buiten bereik van ransomware ondersteunen herstel.

Herken wat de wachtwoordaanvaller probeert

Bij uitputtend proberen worden combinaties geprobeerd. Een woordenboekaanval probeert waarschijnlijke woorden, gelekte wachtwoorden en varianten. Password spraying probeert een klein aantal veelgebruikte wachtwoorden op veel accounts. Credential stuffing probeert combinaties van gebruikersnaam en wachtwoord die van andere diensten zijn gestolen. Spraying verspreidt pogingen over gebruikers; stuffing buit hergebruik van wachtwoorden uit.

Een onlineaanvaller krijgt te maken met vertragingen en blokkeringen van de actieve dienst. Een offlineaanvaller test gestolen wachtwoordhashes zonder contact met de inlogdienst, zodat blokkering door die dienst de pogingen niet kan vertragen. Lange, unieke wachtwoorden, een wachtwoordmanager, controles op gelekte wachtwoorden en trage wachtwoordhashing met salt pakken verschillende delen van het probleem aan.

Bescherm de resterende toegangswegen

Multifactorauthenticatie (MFA) vereist verschillende typen factoren, zodat een wachtwoord alleen onvoldoende is. Fysieke beveiligingssleutels kunnen phishing weerstaan waarbij wachtwoorden en eenmalige codes worden buitgemaakt. Gewone MFA op basis van codes kan nog steeds door phishing worden omzeild, dus gebruikers moeten controleren waar ze inloggen.

Sluit netwerkruimtes en racks af. Consoletoegang in combinatie met een herstart kan een indringer de mogelijkheid geven de wachtwoordherstelprocedure van een apparaat te gebruiken. Een bezoeker die bij een open switchpoort kan, kan een onbevoegd apparaat aansluiten, ook zonder het wifi-wachtwoord te kennen.

Segmentatie scheidt groepen apparaten en regelt de communicatie ertussen. Ze beperkt laterale beweging: de voortgang van een aanvaller van een gecompromitteerd apparaat naar andere bereikbare systemen.

Scheid groepen en dwing grenzen af

Fysieke segmentatie gebruikt afzonderlijke apparatuur; bij een fysieke netwerkscheiding is er geen verbinding met andere netwerken. VLAN's bieden logische segmentatie op gedeelde switches. Elk VLAN is een broadcastdomein op laag 2, normaal gesproken met een eigen subnet.

Een router, laag 3-switch of firewall verbindt VLAN's. Pas daar ACL's of firewallregels toe. Als je VLAN's maakt zonder te filteren, blijft gerouteerde communicatie open: het scheiden van broadcasts alleen is geen toegangsbeleid.

Groepeer apparaten naar hun behoeften

Scheid medewerkers, servers, spraak, gasten, beheer en IoT-apparaten. Persoonlijke BYOD-apparaten krijgen meestal beperkte toegang. OT, of operationele technologie, bestuurt fysieke processen en vereist strikte isolatie omdat storingen fysieke gevolgen hebben en het installeren van beveiligingsupdates moeilijk kan zijn.

Beheerinterfaces mogen alleen verbindingen van goedgekeurde beheerbronnen accepteren. Gasten hebben internettoegang nodig zonder interne toegang; camera's hebben hun recorder nodig. Effectieve isolatie kan ook het aantal systemen verminderen dat onder een beveiligingsbeoordeling voor betaalkaarten valt. Toon die isolatie aan via de daadwerkelijk toegestane paden.

Zet behoeften om in regels

Gebruik VLAN 10 Medewerkers op 10.10.10.0/24, VLAN 20 Servers op 10.10.20.0/24, VLAN 30 Gasten op 10.10.30.0/24, VLAN 40 Camera's op 10.10.40.0/24 en VLAN 99 Beheer op 10.10.99.0/24.

Weiger andere verkeersstromen tussen segmenten. Dit is standaard weigeren: bepaal de benodigde bron, bestemming, het protocol en de dienst en blokkeer de rest. Een regel van camera naar recorder mag niet ook elke server voor het camerasubnet openstellen.

Test de daadwerkelijke dienst

Test vanuit elk segment een noodzakelijke en een verboden verbinding. Een gast moet een goedgekeurde openbare site kunnen laden, maar de HTTPS-interface van de interne printer niet kunnen openen. Een camera moet zijn recorder kunnen bereiken, maar niet de pc's van medewerkers. Controleer of de teller of het log van de verwachte regel verandert.

Ping test alleen ICMP. Een mislukte ping laat niet zien of TCP 443 bereikbaar is. Herhaal diensttests na wijzigingen in routering, VLAN's of firewalls.

VLAN-beveiliging hangt af van eindapparaten op accesspoorten houden en controleren wat trunks vervoeren. VLAN-tags identificeren verkeer; ze versleutelen het niet en authenticeren de afzender niet.

Voorkom dat eindapparaten trunks vormen

Een accesspoort bedient één VLAN voor eindapparaten. Een trunk vervoert meerdere VLAN's met 802.1Q-tags. Het native VLAN vervoert ongetagd verkeer, tenzij tagging van het native VLAN is ingeschakeld.

Bij switchspoofing doet een eindapparaat zich voor als een switch en onderhandelt het via Cisco DTP over een trunk. Stel poorten voor eindapparaten in op statische accessmodus, echte trunks op statische trunkmodus en schakel onderhandeling uit.

Sluit het pad voor dubbele tagging af

Voor dubbele tagging moet het access-VLAN van de aanvaller overeenkomen met een ongetagd native VLAN van een trunk. De aanvaller voegt een buitenste tag voor het native VLAN en een binnenste tag voor het doel-VLAN toe. Door verwijdering van de buitenste tag wordt de doeltag zichtbaar voor de volgende switch. Het gebruikelijke pad werkt in één richting, maar kan nog steeds schadelijk verkeer injecteren.

Gebruik een ongebruikt native VLAN zonder eindapparaten of schakel tagging van het native VLAN in. Laat het native VLAN aan beide uiteinden overeenkomen: anders kunnen ongetagde frames aan tegenoverliggende uiteinden in verschillende VLAN's terechtkomen. Houd gebruikers, servers en beheer buiten VLAN 1 en het native VLAN.

Configureer en controleer de rollen

Dit Cisco IOS-voorbeeld configureert een poort voor een eindapparaat van een medewerker en een uplink. VLAN 999 is ongebruikt; alleen de vermelde actieve VLAN's hebben de trunk nodig.

interface GigabitEthernet1/0/5
 switchport mode access
 switchport access vlan 10
 switchport nonegotiate
!
interface GigabitEthernet1/0/48
 switchport mode trunk
 switchport nonegotiate
 switchport trunk native vlan 999
 switchport trunk allowed vlan 10,20,30,99

Oudere switches die ISL ondersteunen, hebben mogelijk eerst switchport trunk encapsulation dot1q nodig. Beperk de lijst met toegestane VLAN's tot wat aan de andere kant werkelijk nodig is. Controleer met show interfaces trunk de actieve trunks, native VLAN's en lijsten met toegestane VLAN's, en met show interfaces GigabitEthernet1/0/5 switchport de werking als statische accesspoort.

Sluit ongebruikte poorten af en isoleer apparaten onderling

Schakel ongebruikte poorten uit en wijs ze toe aan een niet-gerouteerd parkeer-VLAN, zoals VLAN 998. Een actieve vrije netwerkaansluiting biedt nog steeds een verbinding; het parkeer-VLAN beperkt het bereik als een poort per ongeluk wordt ingeschakeld.

Geïsoleerde poorten van een privé-VLAN bereiken de promiscuous poort, normaal gesproken richting een gateway, maar niet elkaar. Community-poorten bereiken ook hun eigen community. Draadloze clientisolatie biedt vergelijkbare scheiding tussen apparaten. Regels op de routeringsgrens regelen nog steeds het verkeer dat deze groepen verlaat.

Een toegangscontrolelijst (ACL) toetst pakketten aan geordende toestemmings- en weigeringsregels. De eerste overeenkomende regel bepaalt het resultaat. Als geen regel overeenkomt, verwerpt een impliciete weigering het pakket.

Kies de velden die je nodig hebt

Een standaard-IPv4-ACL vergelijkt alleen het bronadres. Een uitgebreide ACL kan protocol, bron, bestemming en TCP- of UDP-poorten vergelijken. Genummerde standaardlijsten van Cisco gebruiken 1–99 of 1300–1999; uitgebreide lijsten gebruiken 100–199 of 2000–2699. Benoemde lijsten maken hun doel gemakkelijker herkenbaar en gebruiken volgnummers voor bewerkingen.

Adresbereiken in Cisco-ACL's gebruiken wildcardmaskers. Een bit met waarde nul moet overeenkomen; een bit met waarde één wordt genegeerd. Trek voor een subnet het subnetmasker af van 255.255.255.255. Een /24 gebruikt 0.0.0.255. Het bereik 192.168.10.64/26 gebruikt 0.0.0.63 en omvat .64 tot en met .127. host 10.10.20.10 komt overeen met één adres; any komt overeen met elk adres. Als je 255.255.255.0 als wildcardmasker invoert, worden de eerste drie octetten genegeerd en moet het laatste octet nul zijn, in plaats van de bedoelde /24 te selecteren.

Lees een volledig beleid

Deze benoemde lijst filtert verkeer dat van medewerkers bij de router aankomt:

ip access-list extended STAFF-IN
 10 permit tcp 10.10.10.0 0.0.0.255 host 10.10.20.10 eq 443
 15 permit udp 10.10.10.0 0.0.0.255 host 10.10.20.53 eq 53
 16 permit tcp 10.10.10.0 0.0.0.255 host 10.10.20.53 eq 53
 20 deny ip 10.10.10.0 0.0.0.255 10.10.20.0 0.0.0.255
 30 permit ip 10.10.10.0 0.0.0.255 any

Volg steeds één pakket:

1. Pc 10.10.10.25 van een medewerker stuurt TCP 443 naar 10.10.20.10. Regel 10 komt overeen, dus het pakket wordt toegestaan.
2. Dezelfde pc stuurt TCP 3389 naar die server. Regels 10, 15 en 16 komen niet overeen; regel 20 komt overeen en weigert het pakket.
3. De pc stuurt TCP 443 naar publieke server 203.0.113.80. Regel 20 komt niet overeen met die bestemming; regel 30 staat het pakket toe.
4. Een pakket met gastbron 10.10.30.7 komt met geen van deze regels voor medewerkers als bron overeen. De impliciete weigering verwerpt het pakket.

DNS heeft zowel UDP 53 als TCP 53 nodig, waaronder TCP voor antwoorden die niet via UDP kunnen worden voltooid. Als je regel 30 boven regel 20 plaatst, wordt verkeer van medewerkers naar elke server toegestaan en wordt de weigeringsregel onbereikbaar. Als je regel 30 verwijdert, wordt het overige verkeer van medewerkers geblokkeerd, inclusief internettoegang.

Pas de lijst toe waar pakketten passeren

Op de interface van het VLAN Medewerkers filtert ip access-group STAFF-IN in pakketten die vanaf medewerkers de router binnenkomen. De richting is gezien vanaf de routerinterface, niet vanaf de gebruiker. out controleert pakketten die die interface verlaten. Een interface accepteert één lijst per protocol per richting.

Uitgebreide ACL's komen meestal dicht bij de bron om ongewenst verkeer vroeg te verwerpen. Standaard-ACL's komen meestal dicht bij de bestemming: omdat ze geen bestemmingen kunnen onderscheiden, kan een vroege weigering op alleen de bron andere noodzakelijke paden blokkeren.

Controleer antwoorden en verzoeken

Deze router-ACL's zijn toestandsloos. Een antwoord dat door een andere ACL wordt gecontroleerd, heeft een eigen toestemming nodig. Het Cisco-sleutelwoord established controleert TCP-vlaggen ACK of RST; het is geen verbindingstabel en helpt niet bij UDP.

Gebruik show access-lists om tellers voor overeenkomsten te bekijken en show ip interface om de toepassing en richting te bevestigen. Nul overeenkomsten kan wijzen op een regel die door een eerdere regel wordt overschaduwd. Een laatste expliciete deny ip any any log maakt geweigerd verkeer zichtbaar. Behoud bij Cisco IPv6-ACL's de vereiste toestemmingen voor buurdetectie: een expliciete algemene weigering vóór die toestemmingen kan de lokale verbinding verstoren.

Een firewall past verkeersbeleid toe tussen netwerken of op een afzonderlijke host. Kies de inspectiemethode op basis van de beslissing die de firewall moet nemen.

Vergelijk inspectiemethoden

Een stateful firewall die TCP van 10.10.10.25:51514 naar 203.0.113.80:443 registreert, kan het omgekeerde antwoord herkennen. Een niet-gerelateerde inkomende verbinding krijgt niet automatisch toestemming doordat die bronpoort 443 gebruikt. Een toestandsloos filter heeft daarentegen passende regels voor antwoorden nodig.

Een applicatieproxy beëindigt de verbinding van de client en opent een andere naar de server. Een WAF is gespecialiseerd in webverzoeken, waaronder aanvallen zoals SQL-injectie. Een firewall van de volgende generatie (NGFW) voegt applicatieherkenning, gebruikersbeleid en functies zoals IPS of URL-filtering toe. Een UTM-apparaat bundelt beveiligingsfuncties voor kleinere organisaties.

Controleer adressen en overgedragen inhoud

URL-filtering controleert webadressen of categorieën. Inhoudsfiltering onderzoekt overgedragen materiaal, zoals uitvoerbare bestanden of vertrouwelijke documenten. Toestemming voor TCP 443 alleen kan een zakelijke website niet onderscheiden van malware of een hulpmiddel voor externe toegang dat HTTPS gebruikt.

TLS-inspectie ontsleutelt, inspecteert en versleutelt verkeer opnieuw. Clients moeten de certificaatautoriteit ervan vertrouwen. Pas de eisen van de organisatie en de privacyvereisten toe, inclusief uitzonderingen voor gevoelige categorieën.

Lees een geordend beleid

Bekijk deze regels die de eerste overeenkomst toepassen:

1. Sta Binnen naar Buiten toe op TCP 80/443 en goedgekeurde DNS, UDP/TCP 53.
2. Sta Buiten naar webserver 172.16.1.10 in het afgeschermde subnet toe op TCP 443.
3. Sta beheer-pc's 10.10.10.5 en .6 toe naar die server op TCP 22.
4. Weiger en registreer verkeer van afgeschermd subnet naar Binnen.
5. Weiger en registreer de rest.

Een browser binnen het netwerk komt overeen met regel 1. SSH van buiten naar de webserver komt bij regel 5 terecht, omdat het noch gepubliceerde HTTPS noch verkeer van een benoemde beheerder is. Een gecompromitteerde publieke server die SMB naar Binnen start, komt overeen met regel 4. Overeenkomende antwoorden volgen het stateful beleid.

Gebruik specifieke bronnen, bestemmingen en diensten, met beperkte uitzonderingen vóór brede overeenkomsten. Leg doel, verantwoordelijke en beoordelingsdatum vast. Bekijk loggegevens en verwijder verouderde openingen of overschaduwde regels.

Een hostfirewall beschermt één apparaat, ook een laptop onderweg. Een netwerkfirewall beschermt verkeer dat de netwerkgrens passeert. Interne aanvallen kunnen de internetzijde omzeilen, dus behoud beide.

Een publieke server moet bepaald internetverkeer accepteren, maar dat betekent niet dat de server onbeperkte toegang tot interne systemen moet delen. Beveiligingszones maken die verschillende toestemmingen zichtbaar.

Plaats publieke diensten in een afgeschermd subnet

Een beveiligingszone groepeert interfaces of netwerken met een gemeenschappelijk beleid. Binnen is gewoonlijk de vertrouwde zone, Buiten het internet en een afgeschermd subnet, ook DMZ genoemd, bevat publieke diensten. “Vertrouwd” beschrijft de beleidsindeling; er kunnen nog steeds geïnfecteerde apparaten aanwezig zijn.

Sta van Buiten naar het afgeschermde subnet alleen gepubliceerde diensten toe. Weiger Buiten naar Binnen, maar laat antwoorden toe op verbindingen die de stateful firewall vanuit Binnen heeft toegestaan. Weiger verbindingen die vanuit het afgeschermde subnet naar Binnen worden gestart, met uitzondering van nauwkeurig benoemde afhankelijkheden. Eén webserver kan bijvoorbeeld één databasepoort naar één interne database nodig hebben. Beheertoegang moet van benoemde beheerhosts komen.

Een firewall met drie interfaces kan deze grenzen afdwingen. Een alternatief is het afgeschermde subnet tussen een buitenste en een binnenste firewall te plaatsen. Dat levert afzonderlijke beleidsgrenzen op, maar vereist meer apparatuur en beheer. Een aanvaller die een publieke server via een toegestane regel op de buitenste firewall bereikt, krijgt nog met de binnenste regels te maken; de toegestane afhankelijkheden bepalen het resterende bereik.

Combineer publicatie met toestemming

Publiceer privéwebserver 172.16.1.10 door het publieke adres 203.0.113.10 op TCP 443 te vertalen naar de privé-TCP 443-dienst van de server. Dit is bestemmings-NAT, of poortdoorschakeling. De firewall heeft zowel de vertaling als een regel nodig die de gepubliceerde verbinding toestaat. De vertaling wijzigt de adressering; de regel bepaalt de toestemming. Producten verschillen in de vraag of een regel het adres vóór of na vertaling noemt, dus controleer met welk adres de regel daadwerkelijk wordt vergeleken.

Kies detectie of preventie

Een IDS ontvangt gekopieerd verkeer via een spiegelpoort of TAP en geeft waarschuwingen. Het kan de oorspronkelijke pakketten niet rechtstreeks verwerpen. Een IPS zit in het verkeerspad en kan verkeer blokkeren, waaronder legitiem verkeer dat ten onrechte als kwaadaardig is aangemerkt. Een IPS dat bij een storing open blijft, laat verkeer door; een IPS dat bij een storing sluit, blokkeert het.

Signatuurdetectie vergelijkt met bekende patronen en vereist actuele signaturen. Detectie op basis van afwijkingen vergelijkt gedrag met een normale referentie en kan een nieuw patroon melden. Die methode moet ook worden afgestemd: een grote geplande back-up kan op gegevensdiefstal lijken.

Alleen de positieve uitkomsten leveren waarschuwingen op. Een waarschuwing is een bevinding om te onderzoeken, terwijl een gemiste aanval mogelijk helemaal geen waarschuwing oplevert. Lagere gevoeligheid kan foutpositieve detecties verminderen en foutnegatieve detecties verhogen; hogere gevoeligheid kan het omgekeerde effect hebben.

Plaats de detectie waar de gegevens beschikbaar zijn

Een netwerksensor buiten een HTTPS- of VPN-eindpunt ziet adressen, tijdstippen en volume, maar kan versleutelde inhoud niet lezen. Inspecteer ontsleuteld verkeer op het eindpunt, achter de VPN-gateway of op een goedgekeurd punt voor TLS-inspectie. Hostgebaseerde detectie kan activiteit op de server na ontsleuteling zien.

Een honeypot is een geïsoleerd loksysteem zonder legitieme gebruikers. Verbindingen ermee verdienen onderzoek. Een honeynet combineert loksystemen. Houd ze geïsoleerd zodat een gecompromitteerd loksysteem geen toegangspad naar echte systemen kan worden.

Switchbeveiligingen stoppen verschillende aanvallen voordat pakketten een router of firewall bereiken. Ze controleren verschillende gegevens: een limiet voor MAC-adressen, de oorsprong van een DHCP-aanbod of een IP-naar-MAC-binding.

Beperk adressen op een poort

Poortbeveiliging beperkt de MAC-adressen die via een poort zijn toegestaan. Cisco-switches staan standaard één adres toe wanneer de functie is ingeschakeld. Adressen kunnen handmatig worden ingevoerd, dynamisch worden geleerd of blijvend worden aangeleerd. Blijvend aangeleerde adressen komen in de actieve configuratie en blijven na een herstart behouden wanneer die configuratie is opgeslagen.

Gebruik voor een bureau met één pc dit Cisco IOS-voorbeeld:

interface GigabitEthernet1/0/5
 switchport mode access
 switchport access vlan 10
 switchport port-security
 switchport port-security maximum 1
 switchport port-security mac-address sticky
 switchport port-security violation restrict

Een andere laptop kan niet via de poort verzenden nadat het adres van de pc is geleerd. In de restrict-modus kan de oorspronkelijke pc terugkeren zonder dat de poort err-disabled wordt. Controleer show port-security interface GigabitEthernet1/0/5. De shutdown-modus vereist herstel door een beheerder, bijvoorbeeld met shutdown gevolgd door no shutdown, of geconfigureerd automatisch herstel. MAC-adressen kunnen worden gekopieerd, dus poortbeveiliging is geen sterke apparaatauthenticatie.

Vertrouw DHCP-antwoorden alleen uit de juiste richting

DHCP-snooping blokkeert DHCP-serverberichten op niet-vertrouwde poorten en bouwt een bindingstabel op met client-IP, MAC-adres, poort en VLAN. Schakel de functie globaal en voor de benodigde VLAN's in met ip dhcp snooping en ip dhcp snooping vlan 10,20. Configureer ip dhcp snooping trust op het gecontroleerde pad naar de bevoegde server. Poorten voor eindapparaten blijven niet vertrouwd. Een limiet op gebruikerspoorten zoals ip dhcp snooping limit rate 10 helpt verzoeken voor uitputting van de DHCP-adrespool te beperken.

Als het inkomende pad van de echte server niet vertrouwd blijft, worden ook legitieme aanbiedingen verworpen. Vertrouwen is een keuze voor een richting, geen uitspraak dat elke uplink veilig is. Een verbinding vanaf een onbeveiligde accessswitch kan onbevoegde aanbiedingen vervoeren.

Gebruik bindingen opnieuw om adressen te inspecteren

Dynamische ARP-inspectie (DAI) controleert ARP-berichten op niet-vertrouwde poorten aan de hand van geldige IP-naar-MAC-bindingen. IP-bronbeveiliging controleert de bronadressering in IP-verkeer met behulp van de bindingen. Zorg bij DHCP-clients voor snoopingbindingen voordat je een van beide functies afdwingt. Statische hosts hebben ARP-ACL-vermeldingen voor DAI en handmatige bronbindingen voor IP-bronbeveiliging nodig; ze krijgen niet vanzelf een DHCP-binding door verkeer te versturen.

Voeg beveiligingen voor ander besturingsverkeer toe

Verkeersstormbegrenzing beperkt de snelheid van broadcast-, multicast- of onbekend unicastverkeer. BPDU-beveiliging schakelt een randpoort uit die spanning-treeberichten ontvangt. RA-beveiliging blokkeert onbevoegde IPv6-routeraankondigingen op gebruikerspoorten. Geen van deze functies voert dezelfde controle uit als DAI.

Test deze wijzigingen in een testomgeving of onderhoudsvenster met een herstelmogelijkheid beschikbaar: een onjuiste vertrouwensinstelling of ontbrekende binding kan legitieme apparaten afsluiten.

Een kabelverbinding of bekend MAC-adres bewijst niet dat een gebruiker is goedgekeurd. Netwerktoegangscontrole (NAC) bepaalt of een apparaat verbinding mag maken en welke toegang het krijgt, op basis van identiteit, apparaatinformatie en vaak een beveiligingsstatuscontrole.

Volg de drie rollen van 802.1X

802.1X biedt poortgebaseerde toegangscontrole op bekabelde en draadloze netwerken. De authenticatieclient van het eindapparaat vraagt toegang. De switch of het accesspoint is de authenticator die de verbinding beheert. De authenticatieserver, meestal RADIUS, controleert de inloggegevens. Totdat de authenticatie slaagt, wordt normaal dataverkeer geblokkeerd en worden authenticatieberichten via EAP over LAN (EAPOL) doorgelaten.

Een laptop maakt verbinding met poort GigabitEthernet1/0/12. De authenticatieclient wisselt EAP-berichten uit met de switch. De switch stuurt ze in RADIUS-berichten door naar de server. Na controle van het certificaat van de laptop stuurt de server Access-Accept met VLAN 10 terug. De switch laat de laptop toe tot Medewerkers. Een afgewezen identiteit blijft geblokkeerd of krijgt volgens het beleid beperkte toegang.

Kies en controleer de authenticatiemethode

EAP-TLS authenticeert client en server met certificaten. De client bewijst bezit van zijn privésleutel zonder die sleutel te versturen. PEAP maakt een TLS-tunnel met het certificaat van de server en controleert daarbinnen een gebruikersnaam en wachtwoord.

Bij beide moet de client het certificaat van de authenticatieserver controleren. Een PEAP-client die een server van een aanvaller accepteert, kan de uitwisseling voor wachtwoordauthenticatie blootstellen aan kraakpogingen. EAP-TLS verstuurt de privésleutel niet, maar het accepteren van een valse server kan een apparaat nog steeds op het netwerk van een aanvaller brengen. Configureer de vertrouwde certificaatautoriteit en de verwachte serveridentiteit, niet alleen de SSID.

Houd rekening met apparaten met verschillende mogelijkheden

Een printer zonder authenticatieclient kan MAB gebruiken. De switch stuurt het MAC-adres als identiteit naar RADIUS. Omdat dat adres kan worden gekopieerd, plaats je de printer in een beperkt segment met alleen de noodzakelijke paden.

Een beveiligingsstatuscontrole controleert de status, zoals geïnstalleerde updates, actieve bescherming van het eindapparaat en een ingeschakelde firewall. Een apparaat dat niet aan de eisen voldoet, kan in een quarantaine-VLAN terechtkomen dat hersteldiensten toestaat. Na updates en een nieuwe controle kan het normale toegang krijgen. Een toegangsportaal voor gasten toont een webpagina voor voorwaarden of een code; het dient een ander doel dan apparaatauthenticatie met certificaten.

Pas dezelfde principes toe op wifi

WPA3-Personal gebruikt SAE en is beter bestand tegen offline raden dan WPA2-Personal. Gebruik de Enterprise-modus voor medewerkers en een afzonderlijk gastnetwerk. Schakel WPS en het verouderde WEP of WPA op basis van TKIP uit.

NAC bepaalt toelating en plaatsing. ACL's en firewalls beperken nog steeds het verkeer van het toegelaten apparaat. Voer afdwinging in fasen in: observeer mislukkingen, test een kleine groep en breid daarna uit. Inventariseer apparaten zonder authenticatieclient en behoud een gedocumenteerde herstelroute voor beheer als RADIUS onbereikbaar wordt.

Beveiligingsversterking van apparaten neemt onnodige toegangspunten weg en beveiligt de diensten die overblijven. Pas dit toe op switches, routers, firewalls, accesspoints en camera's en controleer het opnieuw na wijzigingen in software of configuratie.

Neem eenvoudige toegangspunten weg

Wijzig fabrieksinloggegevens tijdens de installatie. Mirai gebruikte in 2016 veelvoorkomende standaardinloggegevens op apparaten die met internet waren verbonden om een groot botnet op te bouwen. Schakel ongebruikte switchpoorten en onnodige diensten uit, waaronder Telnet, onbeveiligd HTTP-beheer, UPnP en WPS. Schakel detectieprotocollen zoals CDP en LLDP uit op poorten richting niet-vertrouwde netwerken waar het prijsgeven van apparaatinformatie risico oplevert.

Versleuteling beschermt inloggegevens tijdens het transport. Opgeslagen inloggegevens hebben ook sterke hashes nodig. Cisco type 9 gebruikt scrypt en type 8 gebruikt PBKDF2 met SHA-256. Type 5 is verouderd. service password-encryption levert omkeerbare verhulling van type 7 op; dat is geen sterke opslag van wachtwoorden.

Stel toegang via alleen SSH in

Dit Cisco IOS-voorbeeld gaat ervan uit dat een switch de getoonde opdrachten ondersteunt. Maak het account interactief aan met een lang, uniek geheim; hergebruik geen wachtwoord uit een voorbeeld.

hostname SW1
ip domain-name example.com
crypto key generate rsa modulus 2048
ip ssh version 2

Maak de benoemde beheerder aan met username netadmin privilege 15 algorithm-type scrypt secret, gevolgd door het gekozen geheim. Configureer daarna de lijnen voor externe toegang:

line vty 0 15
 login local
 transport input ssh
 exec-timeout 10 0
 access-class MGMT-ONLY in

MGMT-ONLY is een afzonderlijk gedefinieerde ACL die alleen bevoegde beheerbronnen toestaat. login local selecteert lokale accounts; transport input ssh sluit Telnet uit; de time-out bij inactiviteit is 10 minuten. Controleer een toegestane SSH-aanmelding en een geweigerde aanmelding vanuit een gewoon gebruikerssegment.

Beperk het beheerpad

Gebruik een beheer-VLAN en beperkte toestemmingen voor bronnen. Een tussenhost voor beheer is een beveiligde server waarop beheerders eerst inloggen, zodat apparaten alleen vanaf die bron beheersessies hoeven te accepteren. Beheer via het productienetwerk gebruikt het productienetwerk; beheer via een afzonderlijk netwerkpad gebruikt een afzonderlijk netwerk of consolepad dat beschikbaar kan blijven tijdens een storing in het productienetwerk.

Vertragingen of blokkeringen bij het inloggen verminderen online raadpogingen. Zo blokkeert login block-for 120 attempts 5 within 60 aanmeldingen gedurende 120 seconden na vijf mislukte pogingen binnen 60 seconden. Apparaatinstellingen moeten het wachtwoordbeleid van de organisatie ondersteunen; een ingesteld minimum is geen aanbeveling om het kortst toegestane geheim te kiezen.

Werk het apparaat bij en controleer het

Lees het advies van de leverancier, haal de officiële image op en controleer de hash of handtekening. Maak een back-up van de configuratie, werk één apparaat bij tijdens het geplande venster, test het resultaat en bewaar een image om op terug te vallen. Vervang apparaten aan het einde van hun levensduur die geen reparaties meer ontvangen.

Stuur loggegevens naar een centrale syslogdienst en synchroniseer klokken met NTP zodat gebeurtenissen kunnen worden vergeleken. Syslog gebruikt doorgaans UDP 514. Bewaar goedgekeurde referentieconfiguraties en back-ups; vergelijk die met de actieve instellingen om onverwachte wijzigingen te vinden. Een inlogmelding vermeldt de regels voor bevoegd gebruik en bewaking. Loggegevens en referentieconfiguraties zijn alleen nuttig als de toegang ertoe wordt beheerst en wijzigingen worden beoordeeld.

Een geslaagde aanmelding beantwoordt maar één vraag: wie heeft verbinding gemaakt? Netwerkbeheer vereist ook een beslissing over toegestane handelingen en een registratie van wat er is gebeurd.

Scheid de drie AAA-beslissingen

Authenticatie controleert de identiteit. Autorisatie kent rechten voor handelingen toe. Gebruiksregistratie legt activiteiten vast. Samen vormen ze AAA. Een engineer kan zich met succes authenticeren maar geen toestemming hebben om een route te wijzigen. Gebruiksregistratie kan de poging tot die opdracht vervolgens vastleggen.

Lokale accounts staan op elk apparaat afzonderlijk. Centrale AAA geeft veel apparaten één accountdirectory en een gemeenschappelijke registratie. Een vertrekkende beheerder één keer verwijderen is veiliger en eenvoudiger te controleren dan accounts op 40 switches bewerken. Gebruik persoonlijke accounts en rechten op basis van rollen, zodat loggegevens een persoon aanwijzen en een helpdeskmedewerker de status kan bekijken zonder configuraties te wijzigen.

Klassieke RADIUS wordt vaak gebruikt voor authenticatie bij 802.1X, zakelijke wifi en VPN's. TACACS+ ondersteunt gedetailleerde autorisatie en registratie van opdrachten. Oudere RADIUS-apparatuur kan UDP 1645 en 1646 gebruiken.

Begrijp de terugvalmogelijkheid voordat je die inschakelt

Cisco IOS aaa authentication login default group tacacs+ local probeert eerst de servergroep. Lokale authenticatie wordt gebruikt als geen enkele server antwoordt, niet als een bereikbare server de aanmelding afwijst. Een onjuist wachtwoord dat door de server wordt afgewezen, leidt niet tot een tweede poging bij lokale accounts.

aaa new-model schakelt AAA in. aaa authorization exec default group tacacs+ local selecteert autorisatiemethoden en aaa accounting commands 15 default start-stop group tacacs+ registreert opdrachten op bevoegdheidsniveau 15. Ook de servergroep, sleutels en bereikbaarheid moeten worden geconfigureerd. Bewaar een beschermd lokaal noodaccount en test de herstelroute voordat je op de beschikbaarheid van de centrale dienst vertrouwt.

Kies wachtwoorden die bestand zijn tegen raden

Lange, unieke geheime gegevens en controles op gelekte wachtwoorden zijn belangrijker dan een voorspelbare combinatie van symbolen. De Amerikaanse NIST-richtlijn uit 2025 vraagt ten minste 15 tekens voor een wachtwoord dat afzonderlijk wordt gebruikt en staat een minimum van 8 toe bij gebruik met een andere factor. Systemen moeten ten minste 64 tekens toestaan, geen verplichte combinaties van tekentypen eisen en geen routinematige wijziging afdwingen zonder aanwijzingen voor compromittering.

Bij echt willekeurige kleine letters vermenigvuldigt elk extra teken de sleutelruimte met 26. Bij 10 miljard pogingen per seconde duurt het uitputten van acht letters ongeveer 21 seconden; twaalf duurt ongeveer 110 dagen; zestien ongeveer 138.000 jaar. Een hergebruikt wachtwoord of een voorspelbare zin krijgt deze bescherming van een willekeurige sleutelruimte niet. Trage hashing met salt verlaagt ook de snelheid van offline raadpogingen.

Voeg een andere factor toe en bescherm de registraties

MFA combineert kennis, bezit of een persoonlijk kenmerk: bijvoorbeeld een wachtwoord en een fysieke beveiligingssleutel. Een wachtwoord plus een pincode blijft alleen kennis. Gebruik MFA voor extern beheer en VPN-toegang.

Gebruiksregistraties bevatten persoonsgegevens, waaronder namen, adressen en inlogtijden. Beperk toegang en bewaartermijn volgens het beleid van de organisatie en de toepasselijke wetgeving. Bekijk op het netwerk van een klant alleen de gegevens die nodig zijn voor de toegestane opdracht.

Een VPN beschermt verkeer tussen eindpunten over een niet-vertrouwd netwerk. Kies eerst de inrichting van de eindpunten en bepaal daarna welk verkeer de tunnel gebruikt.

Stem de VPN af op het werk

Hosts van een nevenvestiging achter een gateway voor een VPN tussen locaties hebben geen afzonderlijke VPN-client nodig. Een client voor externe toegang authenticeert zich, bij voorkeur met MFA, en ontvangt meestal een adres uit een interne pool. Een portaal zonder clientsoftware is geschikt voor een opdrachtnemer die geen software kan installeren, maar stelt alleen de applicaties beschikbaar die het ondersteunt en publiceert.

Volg de binnenste en buitenste pakketten

De nevenvestiging gebruikt 10.20.0.0/16 en het hoofdkantoor 10.10.0.0/16. Hun publieke gateways zijn 198.51.100.1 en 203.0.113.1. Een pc van de nevenvestiging op 10.20.5.7 stuurt naar bestandsserver 10.10.1.20.

1. Routering en VPN-beleid selecteren het pakket voor het tunneleindpunt van de nevenvestiging.
2. De verwerking in ESP-tunnelmodus versleutelt het oorspronkelijke pakket en voegt een buitenste header toe van 198.51.100.1 naar 203.0.113.1.
3. Internetrouters gebruiken de buitenste publieke adressen; de privébestemming blijft binnenin beschermd.
4. Het hoofdkantoor controleert en ontsleutelt het pakket en stuurt het daarna door naar 10.10.1.20.

De bescherming eindigt bij die eindpunten. De lokale paden daarachter hebben geschikte applicatieprotocollen en toegangscontroles nodig.

Kies volledige of gesplitste routering

Een volledige tunnel stuurt al het verkeer van het externe apparaat via de organisatie, inclusief bezoek aan openbare websites. De filtering van het bedrijf kan dat pad inspecteren, maar het gebruikt centrale bandbreedte en kan vertraging toevoegen.

Een gesplitste tunnel stuurt geselecteerde bestemmingen via de VPN. Zo gaat 10.0.0.0/8 de tunnel in, terwijl een publieke videodienst de rechtstreekse internetverbinding van de medewerker gebruikt. Dat verkeer gaat buiten de filtering van de bedrijfsgateway om; bescherming van het eindapparaat blijft nodig.

Kies een volledige tunnel wanneer het beleid centrale afhandeling van al het webverkeer vereist. Kies een gesplitste tunnel wanneer toegestaan rechtstreeks verkeer anders de beperkte capaciteit van het hoofdkantoor zou gebruiken.

Beperk toegelaten apparaten

VPN-versleuteling verwijdert geen malware. Combineer externe toegang met MFA, beveiligingsstatuscontroles en firewallregels die gebruikers beperken tot de voorzieningen die ze nodig hebben. Een geïnfecteerde, geauthenticeerde laptop kan bereikbare systemen aanvallen. De beheerder van de gateway kan verkeer na ontsleuteling zien, dus een VPN verbergt activiteiten ook niet voor die beheerder.

IPsec scheidt de opbouw tussen communicatiepartners van beschermd gebruikersverkeer. Door die fasen afzonderlijk te controleren, begrijp je beter waarom een VPN een verbinding kan melden terwijl applicaties nog steeds niet werken.

Stel sleutels en beveiligingsassociaties vast

Internet Key Exchange (IKE), normaal gesproken IKEv2, begint op UDP 500. Communicatiepartners authenticeren elkaar met een vooraf gedeelde sleutel of certificaten, spreken compatibele algoritmen af en leiden sleutels af. Een beveiligingsassociatie (SA) legt beveiligingsinstellingen en sleutelmateriaal vast. IKE zet een beschermd besturingskanaal op en onderhandelt over IPsec-SA's voor gegevens.

IPsec-SA's voor gegevens zijn richtingsgebonden, dus verkeer in twee richtingen heeft een paar nodig. Elke communicatiepartner past een eigen beleid voor de geldigheidsduur toe; beide kunnen vóór het verlopen nieuwe sleutels instellen. Bij IKEv2 verhinderen verschillende ingestelde geldigheidsduren op zichzelf de opbouw niet.

Onderscheid de gegevensprotocollen en modi

VPN's tussen gateways gebruiken normaal ESP in tunnelmodus. AH omvat adresvelden die NAT wijzigt, waardoor het ongeschikt is om NAT te passeren. ESP is IP-protocol 50, geen TCP-poort 50 of UDP-poort 50. Sta tussen de gatewayadressen IKE, NAT-T indien gebruikt en rechtstreeks ESP indien gebruikt toe.

GRE kapselt in zonder versleuteling. GRE over IPsec combineert het vervoer van multicast- of routeringsverkeer door GRE met IPsec-bescherming. De toegevoegde inkapseling zelf biedt geen geheimhouding.

Houd rekening met pakketgrootte

Een ESP-tunnel voegt gewoonlijk ongeveer 50–80 bytes per pakket toe; NAT-T voegt nog een UDP-header van 8 bytes toe. Een volledig oorspronkelijk pakket van 1.500 bytes plus die headers overschrijdt een pad-MTU van 1.500 bytes. Afhankelijk van het protocol en de instellingen moet het worden gefragmenteerd of wordt het verworpen. Een kleinere tunnel-MTU, vaak ongeveer 1.400 bytes, en een aangepaste maximale TCP-segmentgrootte (MSS) helpen het verkeer te laten passen. Kleine verzoeken die werken terwijl grotere overdrachten vastlopen, zijn een bruikbaar signaal van een MTU-probleem.

Vergelijk andere VPN-keuzes

TLS-VPN's, traditioneel SSL-VPN's genoemd, gebruiken doorgaans TCP 443 en ondersteunen mogelijk ook UDP. Ze zijn geschikt voor externe clients en browserportalen. WireGuard gebruikt UDP, vaak 51820, en een kleine set moderne algoritmen. L2TP/IPsec combineert oudere L2TP-tunneling op UDP 1701 met IPsec-bescherming. PPTP is verouderd en onveilig.

Lange willekeurige vooraf gedeelde sleutels zijn beheersbaar voor enkele communicatiepartners, maar onhandig op grote schaal. Certificaten die via een certificaatautoriteit (CA) en publiekesleutelinfrastructuur (PKI) worden uitgegeven, ondersteunen afzonderlijke vernieuwing en intrekking. Houd privésleutels geheim, controleer geldigheid en vertrouwen en trek inloggegevens in die niet meer mogen werken. Een zelfondertekend certificaat vereist een expliciet vastgelegde vertrouwensregeling.

Bepaal in welke fase het misgaat

Controleer eerst de bereikbaarheid van gateways, IKE-versie, algoritmen en inloggegevens van de communicatiepartners. Bekijk vervolgens IKE- en IPsec-SA's afzonderlijk. Bevestig dat de selectoren voor beschermde netwerken elkaars spiegelbeeld zijn en controleer de vereiste firewalltoestemmingen en routes de tunnel in. Test ten slotte kleine en grote applicatieoverdrachten. Een IKE-SA bewijst dat het besturingskanaal is opgebouwd; het bewijst niet dat het geselecteerde gegevenspad, de firewallregels en de pakketgroottes juist zijn.