VPN-kliendi liiklus ja tulemüüri olek: välimine ja sisemine voog
Tunneli voog ja dekapsuleeritud ühendus on erinevad paketid. Otsustage, millist te lubate, ja kas iga piir jälgib olekut.
VPN käepigistus lõpeb, klient saab aadressi, aga lüüsi taga olev teenus keeldub endiselt ühendusest. Tulemüür teeb sageli täpselt seda, mida talle öeldi. See lubas välimist tunneli voogu, mis on teine pakett kui dekapsuleeritud rakenduse ühendus. Sellest tuleneb kaks otsust: millist voogu te lubate ja kas piir üldse jälgib olekut.
Kuni te neid kahte ei eralda, on iga reegli muudatus oletus.
Tulemüür näeb kahte erinevat paketti
Enne dekapsuleerimist näeb tulemüür VPN-i lõpp-punktile adresseeritud liiklust: väline UDP voog kuulajani. Pärast dekapsuleerimist kannab edasisaadetud pakett kliendi sisemist aadressi ja teenuse sihtkohta.
Välimise voo luba ei anna õigust edasisaadetud TCP ühendusele. Neid võidakse hinnata erinevates ahelates, erinevate liideste vastu ja pärast tõlget erinevate aadressidega.
Võrrelge jäädvustusi samaväärsetest asukohtadest mõlemal pool. Jäädvustus tunneli servas ja jäädvustus serveris näitavad sama seansi jaoks erinevaid korteeže.
Esimene otsus: lubada tunnel või teenus
Kui klient vajab ainult VPN-i lõpp-punkti ennast, võib välimisest loast piisata. Kui ta vajab teenust väljaspool lüüsi, on vaja edasisaatmise luba selle sihtkoha ja pordi jaoks. Tunneli reegel, mis lubab ka teenust, on disainiotsus, mille peaksite nimetama, mitte õnnetus.
Hoidke kliendi vahemik ja teenuse ulatus kitsad. Luba tunneli alavõrgust kogu lokaalvõrku on otsus usaldada iga hosti, mitte ühe rakenduse otsetee.
Kirjutage mõlemad reeglid eraldi üles. Tunneli reegel ja teenuse reegel nurjuvad erineval viisil ning neid silutakse erinevate tõenditega. Kui üks nurjub, teate, millist kihti esimesena uurida.
Teine otsus: olekuga või olekuta igal piiril
Kehtestatud voo reegel võib lubada vastuseid lubatud vahetusele, kuid selle käitumine sõltub tootest. Pilve turvagrupp jälgib tavaliselt olekut; alavõrgu juurdepääsuloend ei jälgi sageli olekut ja nõuab selget käsitlemist mõlemas suunas. Ärge eeldage, et iga piir teel käsitleb olekut ühtemoodi. Loetlege iga piir ja märkige see olekuga või olekuta enne reeglite kavandamist.
Kui reegel muutub, võivad olemasolevad jälgitavad vood edasi töötada, samal ajal kui uued nurjuvad, või vastupidi. See erinevus on kasulik vihje, mitte põhjus tühjendada kogu ühenduse olek töötaval lüüsil.
Testige värske kontrollitud taotlusega ja uurige asjakohaseid loendureid. Puhas test on parem kui häiriv lähtestamine. Kirjutage loenduri nimi muudatuse kirjesse, et järgmine test kasutaks samu tõendeid.
Kontrollige tagasiteed sama poliitika all
Saatke klientist teenusesse uus taotlus ja seejärel kontrollige edasi- ja tagasiloendureid igal piiril. Kinnitage, et vastus kasutab teed, mida ootate, eriti kui tõlge on mängus.
Hoidke kavandatud kliendivahemik ja teenuse ulatus kitsad ning kontrollige tagasiteed sama reeglistiku all, mis taotluse lubas. Reegel, mis töötab ainult seetõttu, et vana voog on veel avatud, ei ole toimiv reegel.