حركة عميل VPN وحالة الجدار الناري: التدفق الخارجي مقابل الداخلي

يكتمل مصافحة VPN، ويحصل العميل على عنوان، ومع ذلك ترفض خدمة خلف البوابة الاتصال. غالبًا ما يفعل الجدار الناري بالضبط ما أُمر به. لقد سمح بتدفق النفق الخارجي، وهو حزمة مختلفة عن اتصال التطبيق بعد إزالة التغليف. يتبع ذلك قراران: أي تدفق تسمح به، وهل يتتبع الحدّ الحالة أصلًا.

إلى أن تفصل بين الأمرين، كل تغيير في القاعدة تخمين.

يرى الجدار الناري حزمتين مختلفتين

قبل إزالة التغليف، يرى الجدار الناري حركة موجّهة إلى نقطة نهاية VPN: تدفق UDP خارجي إلى المستمع. بعد إزالة التغليف، تحمل الحزمة المُمرَّرة عنوان العميل الداخلي ووجهة الخدمة.

السماح بالتدفق الخارجي لا يأذن باتصال TCP المُمرَّر. فقد يُقيَّمان في سلاسل مختلفة، وأمام واجهات مختلفة، وبعناوين مختلفة بعد الترجمة.

قارن الالتقاطات من مواضع مكافئة على الجانبين. الالتقاط عند حدود النفق والالتقاط عند الخادم يُظهران مجموعتين مختلفتين لنفس الجلسة.

القرار الأول: السماح للنفق أم للخدمة

إذا كان العميل يحتاج نقطة نهاية VPN وحدها، فقد يكفي السماح الخارجي. وإذا كان يحتاج خدمة وراء البوابة، فأنت تحتاج سماحًا بالتمرير لذلك الوجهة والمنفذ. قاعدة نفق تسمح أيضًا بالخدمة هي خيار تصميمي يجب أن تسمّيه، لا حادث.

أبقِ نطاق العميل ونطاق الخدمة ضيّقين. السماح من الشبكة الفرعية للنفق إلى الشبكة المحلية بأكملها قرار بالثقة بكل مضيف، وليس اختصارًا لتطبيق واحد.

اكتب القاعدتين منفصلتين. قاعدة النفق وقاعدة الخدمة تفشلان بطرق مختلفة وتُشخَّصان بأدلة مختلفة. وعندما تفشل إحداهما، تعرف أي طبقة تفحص أولًا.

القرار الثاني: الحالة عند كل حدّ أم بلا حالة

قاعدة التدفق القائم يمكن أن تسمح بالردود لتبادل مسموح، لكن سلوكها يعتمد على المنتج. مجموعة أمان سحابية تكون عادةً ذات حالة؛ وقائمة تحكم للشبكة الفرعية تكون غالبًا بلا حالة وتحتاج معالجة صريحة في الاتجاهين. لا تفترض أن كل حدّ في المسار يعامل الحالة بالطريقة نفسها. اسرد كل حدّ وحدده ذا حالة أو بلا حالة قبل أن تصمم القواعد.

إذا تغيّرت قاعدة، فقد تستمر التدفقات المتعقَّبة القائمة في العمل بينما تفشل الجديدة، أو العكس. هذا الفرق دليل مفيد، وليس سببًا لمسح كل حالة الاتصال على بوابة حيّة.

اختبر بطلب جديد مضبوط، ثم افحص العدادات ذات الصلة. الاختبار النظيف أفضل من إعادة ضبط تعطّل العمل. سجّل اسم العداد في سجل التغيير حتى يستخدم الاختبار التالي الدليل نفسه.

تحقّق من مسار العودة في ظل السياسة نفسها

أرسل طلبًا جديدًا من العميل إلى الخدمة، ثم افحص عدادات الإرسال والعودة عند كل حدّ. تأكد من أن الرد يستخدم المسار الذي تتوقعه، خصوصًا إذا كانت الترجمة طرفًا فيه.

أبقِ نطاق العميل المقصود ونطاق الخدمة ضيّقين، وتحقّق من مسار العودة في ظل مجموعة القواعد نفسها التي سمحت بالطلب. القاعدة التي تعمل فقط لأن تدفقًا قديمًا ما زال مفتوحًا ليست قاعدة عاملة.