Κίνηση πελάτη VPN και κατάσταση τείχους προστασίας: εξωτερική και εσωτερική ροή

Η χειραψία VPN ολοκληρώνεται, ο πελάτης παίρνει διεύθυνση και μια υπηρεσία πίσω από την πύλη εξακολουθεί να αρνείται τη σύνδεση. Το τείχος προστασίας συχνά κάνει ακριβώς αυτό που του ειπώθηκε. Επέτρεψε την εξωτερική ροή της σήραγγας, που είναι διαφορετικό πακέτο από την αποκαψυκωμένη σύνδεση εφαρμογής. Ακολουθούν δύο αποφάσεις: ποια ροή επιτρέπετε και αν το όριο παρακολουθεί καθόλου κατάσταση.

Μέχρι να τα διαχωρίσετε, κάθε αλλαγή κανόνα είναι εικασία.

Το τείχος προστασίας βλέπει δύο διαφορετικά πακέτα

Πριν την αποκαψύκωση, το τείχος βλέπει κίνηση διευθυνσιοδοτημένη στο τελικό σημείο VPN: εξωτερική ροή UDP προς τον ακροατή. Μετά την αποκαψύκωση, ένα προωθημένο πακέτο φέρει την εσωτερική διεύθυνση του πελάτη και τον προορισμό της υπηρεσίας.

Μια άδεια για την εξωτερική ροή δεν εξουσιοδοτεί την προωθημένη σύνδεση TCP. Μπορούν να αξιολογηθούν σε διαφορετικές αλυσίδες, σε διαφορετικές διεπαφές και με διαφορετικές διευθύνσεις μετά τη μετάφραση.

Συγκρίνετε καταγραφές από ισοδύναμες θέσεις και στις δύο πλευρές. Μια καταγραφή στην άκρη της σήραγγας και μια στον διακομιστή δείχνουν διαφορετικές πλειάδες για την ίδια συνεδρία.

Πρώτη απόφαση: να επιτραπεί η σήραγγα ή η υπηρεσία

Αν ο πελάτης χρειάζεται μόνο το ίδιο το τελικό σημείο VPN, η εξωτερική άδεια μπορεί να αρκεί. Αν χρειάζεται υπηρεσία πέρα από την πύλη, χρειάζεστε άδεια προώθησης για αυτόν τον προορισμό και θύρα. Ένας κανόνας σήραγγας που επιτρέπει και την υπηρεσία είναι σχεδιαστική επιλογή που πρέπει να ονομάσετε, όχι ατύχημα.

Κρατήστε το εύρος του πελάτη και την έκταση της υπηρεσίας στενά. Μια άδεια από το υποδίκτυο της σήραγγας προς ολόκληρο το τοπικό δίκτυο είναι απόφαση εμπιστοσύνης σε κάθε κεντρικό υπολογιστή, όχι συντόμευση για μία εφαρμογή.

Γράψτε τους δύο κανόνες χωριστά. Ο κανόνας της σήραγγας και ο κανόνας της υπηρεσίας αποτυγχάνουν με διαφορετικούς τρόπους και εντοπίζονται με διαφορετικά στοιχεία. Όταν αποτύχει ο ένας, ξέρετε ποιο επίπεδο να ελέγξετε πρώτα.

Δεύτερη απόφαση: με κατάσταση ή χωρίς σε κάθε όριο

Ένας κανόνας καθιερωμένης ροής μπορεί να επιτρέπει απαντήσεις για μια επιτρεπόμενη ανταλλαγή, αλλά η συμπεριφορά του εξαρτάται από το προϊόν. Μια ομάδα ασφαλείας στο cloud συνήθως παρακολουθεί κατάσταση· μια λίστα ελέγχου υποδικτύου συχνά δεν παρακολουθεί και απαιτεί ρητό χειρισμό και στις δύο κατευθύνσεις. Μην υποθέσετε ότι κάθε όριο στη διαδρομή αντιμετωπίζει την κατάσταση με τον ίδιο τρόπο. Καταγράψτε κάθε όριο και σημειώστε το με ή χωρίς παρακολούθηση κατάστασης πριν σχεδιάσετε τους κανόνες.

Αν αλλάξει ένας κανόνας, οι υπάρχουσες ροές που παρακολουθούνται μπορεί να συνεχίσουν να λειτουργούν ενώ οι νέες αποτυγχάνουν, ή το αντίστροφο. Αυτή η διαφορά είναι χρήσιμη ένδειξη, όχι λόγος να αδειάσετε όλη την κατάσταση συνδέσεων σε μια ενεργή πύλη.

Δοκιμάστε με ένα νέο ελεγχόμενο αίτημα και εξετάστε τους σχετικούς μετρητές. Μια καθαρή δοκιμή είναι καλύτερη από μια επαναφορά που διακόπτει. Σημειώστε το όνομα του μετρητή στο αρχείο αλλαγής ώστε η επόμενη δοκιμή να χρησιμοποιήσει τα ίδια στοιχεία.

Επαληθεύστε τη διαδρομή επιστροφής με την ίδια πολιτική

Στείλτε νέο αίτημα από τον πελάτη στην υπηρεσία και μετά ελέγξτε τους μετρητές προώθησης και επιστροφής σε κάθε όριο. Επιβεβαιώστε ότι η απάντηση ακολουθεί τη διαδρομή που περιμένετε, ειδικά αν εμπλέκεται μετάφραση.

Κρατήστε στενό το προβλεπόμενο εύρος πελάτη και την έκταση της υπηρεσίας και επαληθεύστε τη διαδρομή επιστροφής με το ίδιο σύνολο κανόνων που επέτρεψε το αίτημα. Ένας κανόνας που λειτουργεί μόνο επειδή μια παλιά ροή είναι ακόμη ανοιχτή δεν είναι λειτουργικός κανόνας.