VPN müştəri trafiki və firewall vəziyyəti: xarici və daxili axın

VPN əl sıxışması tamamlanır, müştəri ünvan alır, amma şlüz arxasındakı xidmət yenə də bağlantını rədd edir. Firewall çox vaxt ona tapşırılanı dəqiq yerinə yetirir. O, xarici tunel axınına icazə verib və bu, dekapsulyasiya olunmuş tətbiq bağlantısından fərqli paketdir. Bundan iki qərar çıxır: hansı axına icazə verirsiniz və sərhəd ümumiyyətlə vəziyyəti izləyirmi.

Bunları ayırmayana qədər hər qayda dəyişikliyi təxmindir.

Şlüz iki fərqli paket görür

Dekapsulyasiyadan əvvəl şlüz VPN son nöqtəsinə ünvanlanmış trafiki görür: dinləyiciyə doğru xarici UDP axını. Dekapsulyasiyadan sonra yönləndirilmiş paket müştərinin daxili ünvanını və xidmət təyinatını daşıyır.

Xarici axın üçün icazə yönləndirilmiş TCP bağlantısına səlahiyyət vermir. Onlar fərqli zəncirlərdə, fərqli interfeyslər qarşısında və tərcümədən sonra fərqli ünvanlarla qiymətləndirilə bilər.

Hər iki tərəfdə ekvivalent mövqelərdən tutmaları müqayisə edin. Tunel kənarındakı tutma və serverdəki tutma eyni sessiya üçün fərqli tuple göstərir.

Birinci qərar: tunelə, yoxsa xidmətə icazə

Müştəriyə yalnız VPN son nöqtəsinin özü lazımdırsa, xarici icazə kifayət edə bilər. Şlüzdən kənarda xidmət lazımdırsa, həmin təyinat və port üçün yönləndirmə icazəsi lazımdır. Xidmətə də icazə verən tunel qaydası adlandırmalı olduğunuz dizayn seçimidir, təsadüf deyil.

Müştəri aralığını və xidmət əhatəsini dar saxlayın. Tunel alt şəbəkəsindən bütün LAN-a icazə hər hosta güvənmək qərarıdır, bir tətbiq üçün qısa yol deyil.

Hər iki qaydanı ayrıca yazın. Tunel qaydası və xidmət qaydası fərqli şəkildə uğursuz olur və fərqli sübutlarla ayıklanır. Biri uğursuz olduqda hansı qatı əvvəl yoxlayacağınızı bilirsiniz.

İkinci qərar: hər sərhəddə vəziyyət saxlanılır, yoxsa saxlanılmır

Qurulmuş axın qaydası icazə verilmiş mübadilə üçün cavablara yol verə bilər, lakin davranışı məhsuldan asılıdır. Bulud təhlükəsizlik qrupu adətən vəziyyət saxlayır; alt şəbəkə ACL-i çox vaxt vəziyyət saxlamır və hər iki istiqamətdə açıq idarəetmə tələb edir. Yoldakı hər sərhədin vəziyyətə eyni cür yanaşdığını güman etməyin. Qaydaları dizayn etməzdən əvvəl hər sərhədi sadalayın və vəziyyət saxlayıb-saxlamadığını qeyd edin.

Qayda dəyişərsə, mövcud izlənən axınlar işləməyə davam edə, yeniləri isə uğursuz ola bilər, ya da əksi. Bu fərq faydalı ipucudur, canlı şlüzdə bütün bağlantı vəziyyətini silmək üçün səbəb deyil.

Yeni nəzarətli sorğu ilə sınayın və müvafiq sayğacları yoxlayın. Təmiz sınaq dağıdıcı sıfırlamadan yaxşıdır. Sayğacın adını dəyişiklik qeydinə yazın ki, növbəti sınaq eyni sübutdan istifadə etsin.

Qayıdış yolunu eyni siyasət altında yoxlayın

Müştəridən xidmətə yeni sorğu göndərin, sonra hər sərhəddə irəli və qayıdış sayğaclarını yoxlayın. Cavabın gözlədiyiniz yoldan getdiyini təsdiqləyin, xüsusən tərcümə iştirak edirsə.

Nəzərdə tutulan müştəri aralığını və xidmət əhatəsini dar saxlayın və qayıdış yolunu sorğuya icazə verən eyni qayda dəsti altında yoxlayın. Yalnız köhnə axın hələ açıq olduğu üçün işləyən qayda işlək qayda deyil.