Trafiko de VPN-kliento kaj fajroŝirma stato: ekstera kaj interna fluo

La VPN-manpremo finiĝas, la kliento ricevas adreson, kaj servo malantaŭ la kluzo ankoraŭ rifuzas la konekton. La fajroŝirmilo ofte faras ĝuste tion, kion oni diris al ĝi. Ĝi permesis la eksteran tunelan fluon, kiu estas malsama pakaĵo ol la malkapsulita aplikaĵa konekto. Sekvas du decidoj: kiun fluon vi permesas, kaj ĉu la limo entute spuras staton.

Ĝis vi apartigos tiujn du, ĉiu regulŝanĝo estas konjekto.

La fajroŝirmilo vidas du malsamajn pakaĵojn

Antaŭ malkapsuligo, la fajroŝirmilo vidas trafikon adresitan al la VPN-finpunkto: ekstera UDP-fluo al la aŭskultanto. Post malkapsuligo, plusendita pakaĵo portas la internan adreson de la kliento kaj la celon de la servo.

Permeso por la ekstera fluo ne rajtigas la plusenditan TCP-konekton. Ili povas esti taksataj en malsamaj ĉenoj, kontraŭ malsamaj interfacoj kaj kun malsamaj adresoj post traduko.

Komparu kaptaĵojn el ekvivalentaj pozicioj ambaŭflanke. Kaptaĵo ĉe la tunela rando kaj kaptaĵo ĉe la servilo montras malsamajn opiarojn por la sama sesio.

Unua decido: permesi la tunelon aŭ la servon

Se la kliento bezonas nur la VPN-finpunkton mem, la ekstera permeso povas sufiĉi. Se ĝi bezonas servon preter la kluzo, vi bezonas plusendan permeson por tiu celo kaj pordo. Tunela regulo, kiu ankaŭ permesas la servon, estas dizajna elekto, kiun vi devus nomi, ne akcidento.

Tenu la klientan amplekson kaj la servan atingon mallarĝaj. Permeso de la tunela subreto al la tuta loka reto estas decido fidi ĉiun gastiganton, ne mallongigo por unu aplikaĵo.

Skribu ambaŭ regulojn aparte. La tunela regulo kaj la serva regulo malsukcesas malsame kaj estas sencimigataj per malsamaj pruvoj. Kiam unu malsukcesas, vi scias, kiun tavolon ekzameni unue.

Dua decido: kun stato aŭ sen stato ĉe ĉiu limo

Regulo por establita fluo povas akcepti respondojn por permesita interŝanĝo, sed ĝia konduto dependas de la produkto. Nuba sekureca grupo kutime spuras staton; subreta alirkontrola listo ofte ne spuras staton kaj postulas eksplicitan traktadon en ambaŭ direktoj. Ne supozu, ke ĉiu limo sur la vojo traktas staton same. Listigu ĉiun limon kaj marku ĝin kun aŭ sen spurado de stato antaŭ ol dizajni la regulojn.

Se regulo ŝanĝiĝas, ekzistantaj spurataj fluoj povas daŭre funkcii dum novaj malsukcesas, aŭ inverse. Tiu diferenco estas utila signo, ne kialo por malplenigi la tutan konektan staton sur aktiva kluzo.

Testu per freŝa kontrolita peto kaj ekzamenu la koncernajn nombrilojn. Pura testo superas ĝenan restarigon. Notu la nomon de la nombrilo en la ŝanĝprotokolo, por ke la sekva testo uzu la saman pruvon.

Kontrolu la revenan vojon sub la sama politiko

Sendu novan peton de la kliento al la servo, poste kontrolu la antaŭenajn kaj revenajn nombrilojn ĉe ĉiu limo. Konfirmu, ke la respondo uzas la vojon, kiun vi atendas, precipe se traduko estas implikita.

Tenu la intencitan klientan amplekson kaj la servan atingon mallarĝaj, kaj kontrolu la revenan vojon sub la sama regularo, kiu permesis la peton. Regulo, kiu funkcias nur ĉar malnova fluo ankoraŭ malfermiĝis, ne estas funkcianta regulo.