VPN من موقع إلى موقع: أي اتجاه يحتاج فعلاً إلى قاعدة؟

كلا الطرفين يبلّغ عن نفق قائم، والفرع البعيد يرد من البوابة، ومع ذلك تنتهي مهلة التطبيق للمستخدمين على أحد الجانبين. تقول النصيحة المعتادة إن عليك إضافة قاعدة جدار حماية في كلا الاتجاهين. أحيانًا يكون ذلك صحيحًا، وأحيانًا يكرر قاعدة موجودة بالفعل، وأحيانًا تكون القاعدة الثانية هي ما يكسر الحالة. أي حالة تنطبق يعتمد على المكان الذي يرى فيه جدار الحماية الحزمة.

حركة العودة ذات الحالة تغيّر العدد

يسجّل جدار الحماية ذو الحالة الطلب ويسمح بالرد دون قاعدة ثانية، لذا فإن التصميم الذي يحتاج إلى قاعدة واحدة فقط أمر طبيعي. قائمة الوصول عديمة الحالة لا تملك هذه الذاكرة، ويجب السماح بالرد صراحةً. كلاهما صحيح على منصته الخاصة، ولهذا تتعارض النصيحة.

اقرأ وثائق إعادة التوجيه للمنصة التي أمامك، وتحقق مما إذا كانت السياسة التي تعدّلها ذات حالة حيث ترى الحزمة. المنع الصريح للحركة القائمة، أو ترتيب القواعد الذي يقيّم الرد قبل جدول الحالة، يحوّل تصميمًا عاملًا إلى تصميم محيّر. عدد القواعد تفصيل تنفيذي، بينما المطلوب هو أن يكتمل كلا اتجاهي محادثة مسموح بها.

حيث يرى جدار الحماية الحزم المفككة التشفير

في النفق القائم على السياسة، قد يقيّم جدار الحماية الحزمة المشفرة قبل فك التشفير والحزمة المفككة بعده، على واجهتين مختلفتين. القاعدة المكتوبة للواجهة الخاطئة موجودة وصحيحة ولا تُطابَق أبدًا. هكذا يمكن لمجموعة قواعد منسوخة من نشر عامل أن تفشل على عتاد مطابق.

يعرض IPsec القائم على التوجيه ومعظم التنفيذات الحديثة واجهة نفق، فتصل الحزمة المفككة التشفير هناك وتنطبق قواعد الواجهة العادية. تأكد من النموذج الذي يستخدمه النشر قبل نسخ مجموعة قواعد من دليل مكتوب للنموذج الآخر. واجهة النفق هي أيضًا المكان الذي تنظر إليه عندما تريد معرفة ما إذا كانت الحزمة قد فُكّ تشفيرها أصلًا.

التوجيه غير المتماثل يكسر الافتراض

يفترض جدار الحماية ذو الحالة أنه يرى نصفي المحادثة. إذا عاد الرد عبر بوابة مختلفة، فإن ذلك الجهاز لا يحمل حالة للطلب ويسقطه وفقًا لسياسته الخاصة. العَرَض هو فشل باتجاه واحد لا تستطيع أي قاعدة على جانب الإرسال إصلاحه. تتبّع مسار الرد قبل تعديل أي شيء.

تحقق من مسار الرد قبل إضافة قاعدة سماح واسعة على كلا الجانبين. تحمّل كل شيء على كل واجهة يخفي خطأ التوجيه ويوسّع الوصول في الوقت نفسه، وهي أسوأ تركيبة متاحة.

تحقق من كلا الاتجاهين بعناوين مصدر حقيقية

اختبر بالعنوان الذي يراه الجانب البعيد فعليًا، لأن الترجمة قد تجعل قاعدة المصدر لا تطابق شيئًا على الإطلاق. شغّل الالتقاط على البوابتين في الوقت نفسه.

tcpdump -ni any 'host 10.30.8.15 and tcp port 443'
nft list ruleset | grep -A 8 'chain forward'
ip route get 10.30.8.15
conntrack -L | grep 10.30.8.15

الطلب الذي يظهر على البوابة البعيدة بعنوان مصدر غير متوقع يفسّر قاعدة لا تُطابَق أبدًا، والرد الذي يصل على الواجهة الخاطئة يفسّر عدم تطابق الحالة. ثم اختبر وجهة واحدة داخل النطاق المعتمد وأخرى خارجه، حتى تُبرهن الحدود بدلًا من افتراضها.

سجّل عنوان المصدر بعد الترجمة، والواجهة التي استخدمتها الحزمة المفككة التشفير، والقاعدة التي طابقت. هذه الحقائق الثلاث تجيب عن التذكرة التالية دون إعادة التحقيق كله.