Ar ôl dadgryptio: pa bolisi sy’n gweld eich traffig VPN gyntaf

Gall llif VPN fod yn gwbl amgryptiedig ac yn gwbl dilysedig ac eto glanio yn rhywle na chynlluniodd neb. Nid y cebl rydych yn ei blygio sy’n penderfynu pa reol sy’n prosesu’r pecyn mewnol; y bachyn polisi a’r llwybr sy’n gwneud hynny. Felly gall dau ddyluniad sy’n edrych yn unfath ar ddiagram rac gael gorfodaeth hollol wahanol. Mae dewis rhyngddynt yn dechrau drwy enwi’r rheolaeth sy’n gweld y llif dadgryptiedig gyntaf.

Penderfynwch drwy fachyn polisi, nid drwy’r porthladd rydych yn blygio iddo

Mae pob platfform VPN yn gwerthuso traffig dadgryptiedig rywbryd cyn ei anfon ymlaen, ac mae gan y pwynt hwnnw enw yn y ffurfweddiad. Ar un platfform mae’n hidlydd polisi grŵp, ar un arall yn bolisi rhyngwyneb neu’n bâr parth, ac ar declyn sy’n llwybro gall fod yn syml y gadwyn forward. Y bachyn sy’n gorfodi’r reol, tra mai’r porthladd swits yw’r lle y mae’r cebl yn gorffen. Darganfod y bachyn yw’r penderfyniad cyntaf, oherwydd popeth arall yw lleoliad o’i gymharu.

Cyn edrych ar galedwedd, ysgrifennwch y llif: pwy yw’r ffynhonnell, i ble mae’n mynd, pa brotocol sy’n ei gario a pha wasanaeth sy’n cael ei ganiatáu. Yna darganfyddwch y rheolaeth sy’n gorfodi pob un o’r pedwar ffaith hynny.

Dau lwybr, dwy stori orfodaeth wahanol

Mae dau siâp yn gyffredin, a gall pob un fod yn gywir ar gyfer gofyniad gwahanol.

endpoint -> shared inside subnet -> server
endpoint -> dedicated transit -> policy firewall -> server subnet

Gall y siâp cyntaf orfodi popeth sydd ei angen ar y giât, ar yr amod bod polisi’r giât wedi’i ysgrifennu ar gyfer y cyrchfan honno ac nad oes gan y gweinydd lwybr o’i chwmpas. Mae’r ail siâp yn ychwanegu ffin, ond dim ond os yw’r llwybrau a’r polisi’n gwneud i’r traffig fynd drwyddi mewn gwirionedd. Efallai na fydd gweinydd ar yr un segment â’r pwynt terfyn byth yn dilyn y naid ganolradd a ddychmygwyd. Mae’r diagram yn dangos bwriad, ac mae’r tabl llwybro yn dangos beth sy’n digwydd.

Dilyswch gyda chwiliad llwybr yn hytrach na chyda’r llun. Y rhyngwyneb y mae pecyn yn gadael drwyddo, a’r naid nesaf y mae’n ei dewis, sy’n penderfynu a yw’r ail siâp yn ymddwyn fel y’i cynlluniwyd.

ip route get 10.30.7.20
sudo iptables -S FORWARD
sudo tcpdump -ni inside0 host 10.30.7.20

Gwahanwch topoleg oddi wrth arwahanrwydd

Nid yw rhannu is-rwydwaith yn gwneud lle yn annibynadwy, ac nid yw tramwyfa bwrpasol yn ei wneud yn warchodedig. Yr hyn sy’n penderfynu yw’r cyfyngiad a gymhwysir mewn gwirionedd, yr anfon ymlaen sy’n digwydd mewn gwirionedd, a phwy sy’n gweinyddu pob darn. Nid yw cyfrif switsys yn dweud dim am unrhyw un o’r tri. Penderfynwch o’r polisi a’r llwybr, ac yna gadewch i’r topoleg ddilyn y penderfyniad.

Triniwch boblogaethau traffig ar wahân hefyd. Gall pyllau mynediad o bell, rhagddodiaid safle-i-safle a rhwydweithiau llinell breifat rannu un teclyn a dal i fod angen gwahanol reolau, oherwydd bod eu hunaniaeth a’u risg yn wahanol. Mae rheol a ysgrifennwyd ar gyfer un boblogaeth yn gorchuddio’r lleill yn dawel pan fyddant yn rhannu cynllun cyfeiriadau.

Gwiriwch fethiant a rheolaeth ar gyfer pob lleoliad

Mae gan bob lleoliad fodd methu, a’r cwestiwn defnyddiol yw beth sy’n dal i weithio pan fydd cydran yn stopio. Nid yw sawl rhyngwyneb rhesymegol ar un teclyn marw yn rhoi adferiad annibynnol i chi, ac nid yw mur tân i lawr y llif sy’n rhannu’r un pŵer neu’r un gweinyddwr yn ail ffin. Gofynnwch ble mae’r llwybr rheoli’n rhedeg, oherwydd nid yw consol y gellir ei chyrraedd drwy’r tiwb yn unig yn llwybr adfer o gwbl; ssh [email protected] true o du allan y tiwb yw’r ffordd rataf o brofi nad yw’r consol yn dibynnu arno. Mae dogfennaeth polisi grŵp un platfform yn gosod ei hidlydd ar draffig ôl-ddadgryptio a chyn-amgryptio, sef yn union y math o fachyn a enwir i chwilio amdano mewn unrhyw gynnyrch.

Ysgrifennwch stori methiant pob ymgeisydd wrth ymyl stori’r orfodaeth. Mae lleoliad sy’n ennill ar archwiliad ac yn colli ar adferiad yn fasnach, a dylid ei gofnodi felly yn hytrach na’i ddarganfod yn ystod digwyddiad.

Derbyniwch â llif a ganiateir ac un a wrthodwyd

Gyda chynllun prawf a gymeradwywyd, gwiriwch dri pheth o ffynhonnell VPN go iawn: cymhwysiad a ddylai weithio, adnodd na ddylai, a’r cyfeiriad y mae’r ateb yn dychwelyd arno. Y gwrthodiad yw’r dystiolaeth fod y polisi yn weithredol, tra mai dim ond profi bod llwybr yn bodoli y mae’r llif a ganiateir.

Cadwch y llwybr a ddewiswyd a chanlyniad y polisi gyda’i gilydd, oherwydd ni ellir atgynhyrchu canlyniad heb lwybr ac ni ellir amddiffyn llwybr heb ganlyniad. Mae’r pâr hwnnw’n llawer mwy defnyddiol ar gyfer dewis pwynt cysylltu nag unrhyw honiad ynglŷn â pha haen newid sy’n fwy diogel yn gynhenid.