Saytdan sayta VPN: hansı istiqamət həqiqətən qayda tələb edir?

Sorğular da, cavablar da icazə tələb edir, lakin vəziyyətli firewall adətən qəbul etdiyi bağlantının qayıtmasına icazə verir. Hansı tərəfin qaydasının çatışmadığını müəyyən edin.

Hər iki tərəf qurulmuş tunel bildirir, uzaq filial şlüzdən cavab verir, lakin tətbiq bir tərəfdəki istifadəçilər üçün yenə də vaxt aşımına uğrayır. Adi məsləhət hər iki istiqamətdə firewall qaydası əlavə etməyi deyir. Bəzən bu düzgündür, bəzən artıq mövcud olan qaydanı təkrarlayır, bəzən də ikinci qayda vəziyyəti pozan şeydir. Hansı halın tətbiq olunduğu firewall-un paketi harada gördüyündən asılıdır.

Vəziyyətli cavab trafiki sayı dəyişir

Vəziyyətli firewall sorğunu qeyd edir və cavaba ikinci qayda olmadan icazə verir, ona görə yalnız bir qayda tələb edən dizayn normaldır. Vəziyyətsiz giriş siyahısında belə yaddaş yoxdur və cavaba açıq şəkildə icazə verilməlidir. Hər ikisi öz platformasında düzgündür, buna görə məsləhətlər ziddiyyət təşkil edir.

Qarşınızdakı platformanın yönləndirmə sənədlərini oxuyun və redaktə etdiyiniz siyasətin paketi gördüyü yerdə vəziyyətli olub-olmadığını yoxlayın. Qurulmuş trafik üçün açıq qadağa və ya cavabı vəziyyət cədvəlindən əvvəl qiymətləndirən qayda sırası işlək dizaynı çaşdırıcı bir şeyə çevirir. Qaydaların sayı tətbiq detallarıdır, tələb isə icazə verilmiş söhbətin hər iki istiqamətinin tamamlana bilməsidir.

Firewall deşifrə edilmiş paketləri harada görür

Siyasət əsaslı tuneldə firewall şifrələnmiş paketi deşifrədən əvvəl və deşifrə edilmiş paketi sonra, müxtəlif interfeyslərdə qiymətləndirə bilər. Səhv interfeys üçün yazılmış qayda mövcuddur, düzgündür və heç vaxt uyğunlaşmır. İşlək quraşdırmadan kopyalanmış qayda dəsti eyni avadanlıqda belə uğursuz ola bilər.

Marşrut əsaslı IPsec və əksər müasir tətbiqlər tunel interfeysi təqdim edir, ona görə deşifrə edilmiş paket oraya gəlir və adi interfeys qaydaları tətbiq olunur. Qayda dəstini digəri üçün yazılmış bələdçidən kopyalamazdan əvvəl quraşdırmanın hansı modeldən istifadə etdiyini təsdiqləyin. Tunel interfeysi həm də paketin ümumiyyətlə deşifrə edilib-edilmədiyini bilmək istədiyiniz zaman baxmalı olduğunuz yerdir.

Asimmetrik marşrutlaşdırma fərziyyəni pozur

Vəziyyətli firewall söhbətin hər iki yarısını gördüyünü fərz edir. Cavab fərqli şlüzdən qayıdırsa, həmin cihaz sorğu üçün heç bir vəziyyət saxlamır və öz siyasətinə uyğun olaraq onu atır. Simptom göndərən tərəfdəki heç bir qaydanın düzəldə bilmədiyi birtərəfli uğursuzluqdur. Cavab marşrutunu izləyin hər hansı dəyişiklik etməzdən əvvəl.

Hər iki tərəfdə geniş icazə qaydası əlavə etməzdən əvvəl cavab marşrutunu yoxlayın. Hər interfeysdə hər şeyə dözmək marşrutlaşdırma səhvini gizlədir və eyni zamanda girişi genişləndirir, bu da mövcud ən pis birləşmədir.

Hər iki istiqaməti real mənbə ünvanları ilə yoxlayın

Uzaq tərəfin həqiqətən gördüyü ünvanla sınaqdan keçirin, çünki tərcümə mənbə qaydasını heç nəyə uyğunlaşdırmaya bilər. Tutmağı hər iki şlüzdə eyni vaxtda işə salın.

tcpdump -ni any 'host 10.30.8.15 and tcp port 443'
nft list ruleset | grep -A 8 'chain forward'
ip route get 10.30.8.15
conntrack -L | grep 10.30.8.15

Uzaq şlüzdə gözlənilməz mənbə ünvanı ilə görünən sorğu heç vaxt uyğunlaşmayan qaydayı izah edir, səhv interfeysə gələn cavab isə vəziyyət uyğunsuzluğunu izah edir. Sonra təsdiqlənmiş əhatə daxilində bir təyinat və ondan kənarda bir təyinat yoxlayın ki, sərhəd fərz edilmək əvəzinə nümayiş etdirilsin.

Tərcümədən sonrakı mənbə ünvanını, deşifrə edilmiş paketin istifadə etdiyi interfeysi və uyğun gələn qaydanı qeyd edin. Bu üç fakt bütün araşdırmanı təkrarlamadan növbəti müraciətə cavab verir.

Əlaqəli məqalələr