VPN τοποθεσίας-σε-τοποθεσία: ποια κατεύθυνση χρειάζεται πραγματικά κανόνα;

Και τα δύο άκρα αναφέρουν μια εγκατεστημένη σήραγγα, το απομακρυσμένο υποκατάστημα απαντά από την πύλη, και η εφαρμογή εξακολουθεί να λήγει για τους χρήστες στη μία πλευρά. Η συνηθισμένη συμβουλή λέει να προστεθεί κανόνας τείχους προστασίας και στις δύο κατευθύνσεις. Μερικές φορές αυτό είναι σωστό, μερικές φορές αντιγράφει έναν κανόνα που υπάρχει ήδη, και μερικές φορές ο δεύτερος κανόνας είναι αυτός που σπάει την κατάσταση. Ποια περίπτωση ισχύει εξαρτάται από το πού βλέπει το πακέτο το τείχος προστασίας.

Η επιστροφή με κατάσταση αλλάζει τον αριθμό

Ένα τείχος προστασίας με κατάσταση καταγράφει το αίτημα και επιτρέπει την απάντηση χωρίς δεύτερο κανόνα, οπότε ένα σχέδιο που χρειάζεται μόνο έναν κανόνα είναι φυσιολογικό. Μια λίστα πρόσβασης χωρίς κατάσταση δεν έχει τέτοια μνήμη, και η απάντηση πρέπει να επιτραπεί ρητά. Και τα δύο είναι σωστά στην πλατφόρμα τους, γι' αυτό οι συμβουλές συγκρούονται.

Διαβάστε την τεκμηρίωση προώθησης για την πλατφόρμα που έχετε μπροστά σας και ελέγξτε αν η πολιτική που επεξεργάζεστε έχει κατάσταση εκεί που βλέπει το πακέτο. Μια ρητή άρνηση για εγκατεστημένη κίνηση, ή μια σειρά κανόνων που αξιολογεί την απάντηση πριν από τον πίνακα κατάστασης, μετατρέπει ένα λειτουργικό σχέδιο σε αίνιγμα. Ο αριθμός των κανόνων είναι λεπτομέρεια υλοποίησης, ενώ η απαίτηση είναι και οι δύο κατευθύνσεις μιας επιτρεπόμενης συνομιλίας να μπορούν να ολοκληρωθούν.

Πού βλέπει το τείχος προστασίας τα αποκρυπτογραφημένα πακέτα

Σε σήραγγα βασισμένη σε πολιτική, το τείχος προστασίας μπορεί να αξιολογήσει το κρυπτογραφημένο πακέτο πριν από την αποκρυπτογράφηση και το αποκρυπτογραφημένο πακέτο μετά, σε διαφορετικές διεπαφές. Ένας κανόνας γραμμένος για τη λάθος διεπαφή υπάρχει, είναι σωστός και δεν ταιριάζει ποτέ. Έτσι ένα σύνολο κανόνων αντιγραμμένο από λειτουργική εγκατάσταση μπορεί να αποτύχει σε πανομοιότυπο υλικό.

Το IPsec βασισμένο σε δρομολόγηση και οι περισσότερες σύγχρονες υλοποιήσεις παρουσιάζουν διεπαφή σήραγγας, οπότε το αποκρυπτογραφημένο πακέτο φτάνει εκεί και ισχύουν οι συνήθεις κανόνες διεπαφής. Επιβεβαιώστε ποιο μοντέλο χρησιμοποιεί η εγκατάσταση πριν αντιγράψετε σύνολο κανόνων από οδηγό γραμμένο για το άλλο. Η διεπαφή σήραγγας είναι επίσης το σημείο που κοιτάτε όταν θέλετε να μάθετε αν ένα πακέτο αποκρυπτογραφήθηκε καθόλου.

Η ασύμμετρη δρομολόγηση σπάει την υπόθεση

Ένα τείχος προστασίας με κατάσταση υποθέτει ότι βλέπει και τα δύο μισά της συνομιλίας. Αν η απάντηση επιστρέψει από άλλη πύλη, εκείνη η συσκευή δεν κρατά κατάσταση για το αίτημα και το απορρίπτει σύμφωνα με τη δική της πολιτική. Το σύμπτωμα είναι μια μονόδρομη αποτυχία που κανένας κανόνας στην πλευρά αποστολής δεν μπορεί να διορθώσει. Ιχνηλατήστε τη διαδρομή της απάντησης πριν επεξεργαστείτε οτιδήποτε.

Ελέγξτε τη διαδρομή της απάντησης πριν προσθέσετε έναν ευρύ κανόνα αποδοχής και στις δύο πλευρές. Το να ανέχεστε τα πάντα σε κάθε διεπαφή κρύβει το λάθος δρομολόγησης και διευρύνει την πρόσβαση ταυτόχρονα, που είναι ο χειρότερος διαθέσιμος συνδυασμός.

Ελέγξτε και τις δύο κατευθύνσεις με πραγματικές διευθύνσεις προέλευσης

Δοκιμάστε με τη διεύθυνση που βλέπει πραγματικά η απομακρυσμένη πλευρά, αφού η μετάφραση μπορεί να κάνει έναν κανόνα προέλευσης να μην ταιριάζει με τίποτα. Εκτελέστε τη σύλληψη και στις δύο πύλες ταυτόχρονα.

tcpdump -ni any 'host 10.30.8.15 and tcp port 443'
nft list ruleset | grep -A 8 'chain forward'
ip route get 10.30.8.15
conntrack -L | grep 10.30.8.15

Ένα αίτημα που εμφανίζεται στην απομακρυσμένη πύλη με απρόσμενη διεύθυνση προέλευσης εξηγεί έναν κανόνα που δεν ταιριάζει ποτέ, και μια απάντηση που φτάνει στη λάθος διεπαφή εξηγεί αναντιστοιχία κατάστασης. Έπειτα δοκιμάστε έναν προορισμό εντός του εγκεκριμένου εύρους και έναν εκτός, ώστε το όριο να αποδειχθεί αντί να υποτεθεί.

Καταγράψτε τη διεύθυνση προέλευσης μετά τη μετάφραση, τη διεπαφή που χρησιμοποίησε το αποκρυπτογραφημένο πακέτο και τον κανόνα που ταίριαξε. Αυτά τα τρία γεγονότα απαντούν στο επόμενο δελτίο χωρίς να επαναλάβετε όλη την έρευνα.