Traffig cleient VPN a chyflwr y mur gwarchod: llif allanol yn erbyn mewnol

Mae’r creiddio VPN yn gorffen, mae’r cleient yn cael cyfeiriad, ac mae gwasanaeth y tu ôl i’r porth yn gwrthod y cysylltiad o hyd. Yn aml, mae’r mur gwarchod yn gwneud yn union yr hyn a ddywedwyd wrtho. Caniataodd y llif twnnel allanol, sy’n becyn gwahanol i’r cysylltiad cymhwysiad a ddatgapsiwleiddiwyd. Daw dau benderfyniad: pa lif rydych yn ei ganiatáu, ac a yw’r ffin yn olrhain cyflwr o gwbl.

Hyd nes y byddwch yn gwahanu’r ddau, mae pob newid rheol yn ddyfaliad.

Mae’r mur gwarchod yn gweld dau becyn gwahanol

Cyn datgapsiwleiddio, mae’r mur gwarchod yn gweld traffig wedi’i gyfeirio at bwynt terfyn VPN: llif UDP allanol at y gwrandäwr. Ar ôl datgapsiwleiddio, mae pecyn wedi’i anfon ymlaen yn cario cyfeiriad mewnol y cleient a chyrchfan y gwasanaeth.

Nid yw caniatâd ar gyfer y llif allanol yn awdurdodi’r cysylltiad TCP a anfonwyd ymlaen. Gellir eu gwerthuso mewn cadwyni gwahanol, yn erbyn rhyngwynebau gwahanol, a chyda chyfeiriadau gwahanol ar ôl cyfieithu.

Cymharwch ddaliadau o safleoedd cyfatebol ar y ddwy ochr. Mae daliad ar ymyl y twnnel a daliad ar y gweinydd yn dangos tiplau gwahanol ar gyfer yr un sesiwn.

Y penderfyniad cyntaf: caniatáu’r twnnel neu’r gwasanaeth

Os mai dim ond y pwynt terfyn VPN ei hun sydd ei angen ar y cleient, gall y caniatâd allanol fod yn ddigon. Os oes angen gwasanaeth y tu hwnt i’r porth, mae angen caniatâd anfon ymlaen ar gyfer y gyrchfan a’r porthladd hwnnw. Mae rheol twnnel sy’n caniatáu’r gwasanaeth hefyd yn ddewis dylunio y dylech ei enwi, nid yn ddamwain.

Cadwch amrediad y cleient ac amrediad y gwasanaeth yn gul. Mae caniatâd o is-rwydwaith y twnnel i’r LAN gyfan yn benderfyniad i ymddiried ym mhob gwesteiwr, nid yn llwybr byr ar gyfer un cymhwysiad.

Ysgrifennwch y ddwy reol ar wahân. Mae rheol y twnnel a rheol y gwasanaeth yn methu mewn ffyrdd gwahanol ac yn cael eu dadfygio gyda thystiolaeth wahanol. Pan fydd un yn methu, byddwch yn gwybod pa haen i’w harchwilio gyntaf.

Yr ail benderfyniad: gyda chyflwr neu heb gyflwr ar bob ffin

Gall rheol llif sefydledig dderbyn atebion ar gyfer cyfnewid a ganiatawyd, ond mae ei hymddygiad yn dibynnu ar y cynnyrch. Mae grŵp diogelwch cwmwl fel arfer yn olrhain cyflwr; mae rhestr reoli is-rwydwaith yn aml heb gyflwr ac angen triniaeth benodol yn y ddau gyfeiriad. Peidiwch â chymryd bod pob ffin ar y llwybr yn trin cyflwr yr un ffordd. Rhestrwch bob ffin a’i nodi gyda chyflwr neu heb gyflwr cyn dylunio’r rheolau.

Os bydd rheol yn newid, gall llifoedd tracio presennol barhau i weithio tra bod rhai newydd yn methu, neu i’r gwrthwyneb. Mae’r gwahaniaeth hwnnw yn gliw defnyddiol, nid yn rheswm dros fflysio holl gyflwr y cysylltiadau ar borth byw.

Profwch gyda chais newydd wedi’i reoli a archwilwch y rhifyddion perthnasol. Mae prawf glân yn well na ailosodiad tarfu. Nodwch enw’r rhifydd yn y cofnod newid fel bod y prawf nesaf yn defnyddio’r un dystiolaeth.

Gwiriwch y llwybr dychwelyd o dan yr un polisi

Anfonwch gais newydd o’r cleient i’r gwasanaeth, yna gwiriwch y rhifyddion anfon a dychwelyd ar bob ffin. Cadarnhewch fod yr ateb yn defnyddio’r llwybr rydych yn ei ddisgwyl, yn enwedig os oes cyfieithu yn y broses.

Cadwch amrediad bwriadedig y cleient ac amrediad y gwasanaeth yn gul, a gwiriwch y llwybr dychwelyd o dan yr un set rheolau a ganiatâodd y cais. Nid yw rheol sy’n gweithio dim ond oherwydd bod hen lif yn dal ar agor yn rheol weithredol.