Nid yw tramwy wedi'i amgryptio yn rhoi mynediad i'r cludwr

Mae dau borth cymeradwy yn cario traffig rhwydwaith â llai o ymddiriedaeth ar draws rhwydwaith cludo cyfyngedig. Mae amgryptio'r llwyth yn ei gadw'n annarllenadwy i arsylwyr tramwy cyffredin, a dyma'r rhan y mae pobl yn ei chynllunio gyntaf ac wedyn yn stopio meddwl amdani. Yr hyn nad yw amgryptio'n ei wneud yw diffinio pa adnoddau y caiff yr ochr â llai o ymddiriedaeth eu cyrraedd. Mae angen dwy ffin ar y cynllun: un o amgylch y sgwrs a gludir, ac un o amgylch mynediad at y cludwr ei hun.

Rhedwch y camau isod yn eu trefn, a thriniwch fethiant ar unrhyw gam fel newid cynllun yn hytrach nag addasiad ffurfweddu.

Diffiniwch y ddwy ffin cyn cyffwrdd â ffurfwedd

Y ffin gyntaf yw'r sgwrs: pa barau o borthi all sefydlu twnnel, a pha draffig mewnol a ganiateir drwyddo. Yr ail yw'r cludwr: pa gyfeiriadau a gwasanaethau y gall y gwesteiwyr â llai o ymddiriedaeth eu cyrraedd y tu allan i'r twnnel. Mae timau fel arfer yn adeiladu'r gyntaf ac yn etifeddu'r ail o ba bynnag lwybr a oedd eisoes yn bodoli, a dyna sut y mae cynllun cyfyngedig yn troi'n dawel yn un eang. Yr etifeddiaeth honno yw'r prif achos arferol pan fo adolygiad yn dod o hyd i westeiwr â llai o ymddiriedaeth yn siarad â rhywbeth na chymeradwyodd neb.

Ysgrifennwch y ddwy fel rhestrau o gyfeiriadau, porthladdoedd a chyfeiriadau'r llif. Os na ellir ysgrifennu rhestr, nid yw'r ffin wedi'i diffinio eto.

Cam 1: cyfyngwch y twnnel allanol

Ar y rhyngwyneb sy'n wynebu'r cludwr, caniatewch yn unig yr hyn sydd ei angen ar y twnnel: IKE ar UDP 500 a 4500 rhwng dau gyfeiriad y porth, ac ESP lle nad yw tramwy NAT yn cael ei ddefnyddio. Gwadwch bopeth arall sy'n cyrraedd y rhyngwyneb hwnnw, gan gynnwys protocolau rheoli. Manyleb ESP sy'n ymdrin â'r gwasanaethau amddiffyn; nid yw'n dweud dim am ba wasanaethau cludwr y caiff y porthi eu defnyddio. Mynegwch hyn fel rhestr ganiatáu benodol, fel nad yw gwasanaeth cludwr newydd ei chyhoeddi yn dod yn gyrraeddadwy yn ddiofyn.

Dyma'r set rheolau sy'n gwneud y cynllun yn gynllun tramwy yn hytrach na threfniant peering.

Gwiriwch hyn o'r ochr â llai o ymddiriedaeth, nid o gonsol y porth. Dylai gwesteiwr yno fethu â chyrraedd gweinydd DNS y cludwr hyd yn oed cyn i'r twnnel godi.

Cam 2: penderfynwch beth y mae'r porth pell yn ei ddanfon

Ar y pen pell, rhaid i draffig a adferwyd fynd i rywle penodol. Diffiniwch pa wasanaethau mewnol a ganiateir, o ba ystodau ffynhonnell, ac a ddisgwylir i'r atebion fod yn gymesur. Adolygwch fynediad rheoli ar wahân, oherwydd mae'r un porth yn aml yn datgelu rhyngwyneb gweinyddol nad oedd erioed yn rhan o'r cynllun tramwy.

Mae diagram sy'n stopio ar ddadgryptio llwyddiannus wedi hepgor y penderfyniad pwysicaf.

Cam 3: cadw perchnogaeth fesul haen

Mae offer tramwy yn dal i dderbyn ac anfon pecynnau allanol, felly mae angen clais trwsio a chynllunio capasiti arno. Mae penau'r twnnel yn prosesu'r protocol gwarchodedig ac yn datgelu traffig mewnol i'w llwybr anfon, felly mae angen eu rheolau eu hunain a'u monitro eu hunain arnynt. Mae'r cymwysiadau terfynol yn prosesu'r llwyth, ac nid yw llwyth afloyw yn brawf bod lawrlwythiad wedi'i ddadgryptio yn ddiniwed.

Neilltuwch berchennog i bob haen. Y haenau heb berchennog yw'r rhai sy'n drifftio.

Cam 4: gwiriwch, yna trosglwyddwch i'r awdurdod

Gwiriwch y llwybr allanol gyda'r twnnel i fyny a'r rheolau cludwr yn eu lle. Yna rhowch gynnig ar bob adnodd na ddylai'r ochr â llai o ymddiriedaeth ei gyrraedd, a chadarnhewch mai gwrthodiad yw'r methiant, nid amseredd sy'n cuddio llwybr. Gwiriwch argaeledd a therfynau adnoddau hefyd, oherwydd gellir dirlawn cyswllt wedi'i amgryptio o hyd.

Ar gyfer amgylcheddau rheoleiddiedig neu gyfrin, ewch â'r cynllun i'r awdurdod diogelwch cyfrifol a defnyddiwch ei bensaernïaeth gwahanu gymeradwy. Nid yw ffurfwedd VPN a chyfniad cysyniadol yn sefydlu achrediad. Nid yw'r cam hwnnw'n wahanol i bapurwaith; mae'n penderfynu a ganiateir i'r cynllun fodoli o gwbl.