私はある会社のセキュリティ運用センターのエンジニアとして働いています。私たちは多くの顧客の FW、プロキシなどを管理しています。私たちが毎日受け取るチケットの例としては、ユーザーが一部のサイトにアクセスできないので、顧客のプロキシをチェックする、などがあります。
トラブルシューティング中、およびすべてのデバイスをすでに管理しているため、ユーザーをシミュレートする方法がいくつかあります (たとえば、この例では、顧客のプロキシを明示的に定義してテストします)。
しかし、残念ながらほとんどの場合、ユーザーをシミュレートできなかったため、影響を受けるユーザーを呼び出してライブ テストを行う以外に方法はありません (たとえば、この例では、顧客が透過プロキシを使用しているか、またはパスに IPS があるかなど)。
私の質問は、すべてのデバイスを管理している場合、FW の信頼ゾーンの背後に内部的にいるかのように自分自身をシミュレートして、すべてのチケットをオフラインでトラブルシューティングできる方法があるかどうかです。
私は次のことを考えていました:
1- FW でルールを開いて内部にアクセスできるようにし、ポリシー ベースのルーティング技術を使用して、トラフィックが内部で生成されたかのように転送できます。 - 問題は、たとえばすべての http トラフィックを FW にリダイレクトするようにブラウザーに要求する方法です。明示的なプロキシ経由でリダイレクトすると何も行われず、残念ながら PC で特定のポートのルートを設定できません。
2- 自分の PC と顧客の FW の間に VPN を作成し、VPN 内で HTTP トラフィックをトンネリングします。 - 問題は、これが実行できるかどうかわからないことです。Windows VPN ウィザードよりも高度な VPN クライアントが必要であり、FW でも同じものが必要です。
3- FW と管理サーバーの間にはすでに VPN があるので、FW から自分の PC へのトラフィックを開始し、FW の背後にバックドアのようなものを作ることはできますか。 - 問題は、もちろん、FW に ncat のようなものをインストールできないことです。
私としては、安全なリモート ユーザーの概念を使用するなど、アプローチ 2 が最も適切だと思います。皆さんのアイデアや提案をお待ちしています。
何か案は
答え1
これは、クライアント FW の特定のポートへのブラウザ プロキシ設定で実行できるはずです。ファイアウォール ルールは、そのトラフィックをクライアント サイトの Web プロキシ サーバー/ソフトウェア/デーモンにルーティングし、Web に直接ルーティングしません。さらに、ルールはオフィス IP からのアクセスのみに制限する必要があります。そうしないと、クライアント FW がオープン プロキシになります。
実際、FW が PPTP をサポートしている場合、これはおそらく最も簡単な方法です。PPTP は多くのファイアウォール デバイスでサポートされています。l2tp の場合はさらに作業が必要になります。このソリューションは、クライアント サイトの FW のブランド/モデルによって異なります。
FW と管理サーバー間の既存の VPN を使用して、クライアント ネットワークへの静的ルート (管理サーバー経由) を設定し、ブラウザー プロキシをクライアント FW (Web プロキシ) の内部 IP にポイントします。