VPN safle-i-safle: pa gyfeiriad sydd wir angen rheol?

Mae'r ddau ben yn adrodd twnnel sefydledig, mae'r gangen bell yn ateb o'r porth, ac mae'r cymhwysiad yn parhau i redeg allan o amser i ddefnyddwyr ar un ochr. Y cyngor arferol yw ychwanegu rheol mur tân i'r ddau gyfeiriad. Weithiau mae hynny'n iawn, weithiau mae'n dyblygu rheol sy'n bodoli eisoes, ac weithiau'r ail reol sy'n torri'r cyflwr. Pa achos sy'n berthnasol mae'n dibynnu ar ble mae'r mur tân yn gweld y pecyn.

Mae traffig dychwelyd â chyflwr yn newid y cyfrif

Mae mur tân â chyflwr yn cofnodi'r cais ac yn derbyn yr ateb heb ail reol, felly mae dyluniad sy'n gofyn am un rheol yn unig yn normal. Nid oes gan restr mynediad ddi-gyflwr y cof hwnnw, a rhaid caniatáu'r ateb yn benodol. Mae'r ddau yn gywir ar eu platfform eu hunain, a dyna pam y mae'r cyngor yn gwrthdaro.

Darllenwch y ddogfennaeth anfon ymlaen ar gyfer y platfform sydd o'ch blaen, a gwirio a yw'r polisi rydych chi'n ei olygu yn un â chyflwr lle mae'n gweld y pecyn. Mae gwrthodiad penodol ar gyfer traffig sefydledig, neu drefn rheolau sy'n gwerthuso'r ateb cyn y tabl cyflwr, yn troi dyluniad gweithiol yn un ddryslyd. Manylyn gweithredu yw nifer y rheolau, tra bod y gofyniad yn dal mai'r ddau gyfeiriad o sgwrs a ganiatawyd all gwblhau.

Lle mae'r mur tân yn gweld pecynnau wedi'u dadgryptio

Mewn twnnel yn seiliedig ar bolisi, gall y mur tân werthuso'r pecyn wedi'i amgryptio cyn dadgryptio a'r pecyn wedi'i ddadgryptio wedyn, ar ryngwynebau gwahanol. Mae rheol a ysgrifennwyd ar gyfer yr un anghywir yn bresennol, yn gywir ac ni chysylltir byth. Dyna sut y gall set rheolau a gopïwyd o osodiad gweithiol fethu ar galedwedd unfath.

Mae IPsec sy'n seiliedig ar lwybr a'r rhan fwyaf o weithrediadau modern yn cyflwyno rhyngwyneb twnnel, felly mae'r pecyn wedi'i ddadgryptio'n cyrraedd yno ac mae rheolau rhyngwyneb arferol yn gymwys. Cadarnhewch pa fodel mae'r gosodiad yn ei ddefnyddio cyn copïo set rheolau o ganllaw a ysgrifennwyd ar gyfer y llall. Y rhyngwyneb twnnel hefyd yw'r lle i edrych pan fydd angen gwybod a gafodd pecyn ei ddadgryptio o gwbl.

Mae llwybro anghymesur yn torri'r rhagdybiaeth

Mae mur tân â chyflwr yn tybio ei fod yn gweld dwy hanner y sgwrs. Os daw'r ateb yn ôl trwy borth gwahanol, nid yw'r ddyfais honno'n dal cyflwr ar gyfer y cais ac mae'n ei ollwng yn ôl ei pholisi ei hun. Y symptom yw methiant un ffordd na all unrhyw reol ar yr ochr anfon ei atgyweirio. Olrheiniwch lwybr yr ateb cyn golygu unrhyw beth.

Gwiriwch lwybr yr ateb cyn ychwanegu rheol caniatáu eang ar y ddau ochr. Mae goddef popeth ar bob rhyngwyneb yn cuddio'r camgymeriad llwybro ac yn lledu mynediad ar yr un pryd, sef y cyfuniad gwaethaf sydd ar gael.

Gwiriwch y ddau gyfeiriad gyda chyfeiriadau ffynhonnell go iawn

Profwch gyda'r cyfeiriad y mae'r ochr bell yn ei weld mewn gwirionedd, gan y gall cyfieithu beri i reol ffynhonnell beidio â chysylltu â dim o gwbl. Rhedegwch y casglu ar y ddau borth ar yr un pryd.

tcpdump -ni any 'host 10.30.8.15 and tcp port 443'
nft list ruleset | grep -A 8 'chain forward'
ip route get 10.30.8.15
conntrack -L | grep 10.30.8.15

Mae cais sy'n ymddangos ar y porth pell â chyfeiriad ffynhonnell annisgwyl yn esbonio rheol na chysylltir byth, ac mae ateb sy'n cyrraedd y rhyngwyneb anghywir yn esbonio anghydffurfiad cyflwr. Yna profwch un gyrchfan o fewn y cwmpas a gymeradwywyd ac un y tu allan iddo, fel bod y ffin yn cael ei dangos yn hytrach na'i thybio.

Cofnodwch y cyfeiriad ffynhonnell ar ôl cyfieithu, y rhyngwyneb a ddefnyddiwyd gan y pecyn wedi'i ddadgryptio, a'r rheol a gysylltwyd. Mae'r tri ffaith hynny'n ateb y tocyn nesaf heb ailadrodd yr holl ymchwiliad.