Transitu zifratuak ez dio operadoreari sarbiderik ematen

Pasabide onartu bik konfiantza gutxiagoko sare baten trafikoa garraiatzen dute garraio-sare mugatu batetik zehar. Karga erabilgarria zifratzeak ohiko transitu-behatzaileentzat irakurgaitz mantentzen du, eta hori da jendeak lehenengo diseinatu eta gero pentsatzeari uzten dion zatia. Zifratzeak egiten ez duena da zehaztea konfiantza gutxiagoko aldeak zein baliabide har dezakeen. Diseinuak bi muga behar ditu: bat garraiatutako elkarrizketaren inguruan eta bestea operadore beraren sarbidearen inguruan.

Exekutatu beheko urratsak ordenan, eta tratatu edozein urratsetako hutsa diseinu-aldaketa gisa, ez konfigurazio-doikuntza gisa.

Definitu bi mugak konfigurazio bat ukitu aurretik

Lehen muga elkarrizketa da: zein pasabide-bikotek era dezaketen tunel bat eta zein barne-trafikok zeharka dezakeen. Bigarrena operadorea da: zein helbide eta zerbitzutara irits daitezkeen konfiantza gutxiagoko ostalariek tunelaz kanpo. Taldeek lehenengoa eraiki ohi dute eta bigarrena lehendik zegoen edozein bideratzetatik heredatzen dute, eta horrela diseinu mugatu bat isilka zabal bihurtzen da. Ondare hori da erro-kausa ohikoa berrikuspen batek konfiantza gutxiagoko ostalari bat inork onartu ez zuen zerbaiti hizketan aurkitzen duenean.

Idatzi biak helbide, portu eta norabide zerrenda gisa. Zerrenda bat idazterik ez badago, muga ez dago oraindik definituta.

1. urratsa: murriztu kanpoko tunela

Operadoreari begira dagoen interfazean, baimendu tunelak behar duena soilik: IKE UDP 500 eta 4500 gainean bi pasabide-helbideen artean, eta ESP NAT zeharkatzea erabiltzen ez den lekuan. Ukatu interfaze horretara iristen den beste guztia, kudeaketa-protokoloak barne. ESP zehaztapena babes-zerbitzuak estaltzen ditu; ez du ezer esaten pasabideek operadorearen zein zerbitzu erabil ditzaketen. Adierazi baimen-zerrenda esplizitu gisa, berriki argitaratutako operadore-zerbitzu bat ez dadin lehenespenez irisgarri bihurtu.

Hau da diseinua transitu-diseinu egiten duen arau-multzoa, peerinkako akordio bat izan beharrean.

Egiaztatu konfiantza gutxiagoko aldetik, ez pasabidearen kontsolatik. Hango ostalari batek operadorearen DNS zerbitzarira iristea huts egin beharko luke tunela altxatu aurretik ere.

2. urratsa: erabaki zer entregatzen duen urrutiko pasabideak

Urrutiko muturrean, berreskuratutako trafikoak toki zehatz batera joan behar du. Definitu zein barne-zerbitzu onartzen diren, zein iturburu-tartetatik eta erantzunak simetrikoak izatea espero den. Berrikusi kudeaketarako sarbidea bereizita, pasabide berak sarritan erakusten baitu transitu-planearen parte inoiz izan ez zen administrazio-interfaze bat.

Deszifratze arrakastatsuan gelditzen den diagrama batek garrantzitsuena den erabakia saihestu du.

3. urratsa: mantendu jabetza geruza bakoitzeko

Transitu-ekipamenduak kanpoko paketeak jasotzen eta bidaltzen ditu oraindik, beraz adabakiak eta edukiera-plangintza behar ditu. Tunelaren muturrek babestutako protokoloa prozesatzen dute eta barne-trafikoa haien birbidaltze-bidera irekitzen dute, beraz beren arauak eta beren monitorizazioa behar dituzte. Azken aplikazioek karga erabilgarria prozesatzen dute, eta karga opaku bat ez da deszifratutako deskarga bat kaltegabea denaren froga.

Esleitu jabe bat geruza bakoitzari. Jaberik gabeko geruzak dira noraezean ibiltzen direnak.

4. urratsa: egiaztatu, eta gero eman agintaritzari

Egiaztatu kanpoko bidea tunela altxatuta eta operadorearen arauak lekuan direla. Gero probatu konfiantza gutxiagoko aldeak iritsi beharko ez lukeen baliabide bakoitza eta berretsi hutsa ukapen bat dela, bide bat ezkutatzen duen denbora-muga bat ez dela. Egiaztatu erabilgarritasuna eta baliabide-mugak ere, lotura zifratu bat ase daiteke eta.

Ingurune arautu edo sailkatuetarako, eraman diseinua segurtasun-agintaritza arduratsuaren esku eta erabili haren bereizketa-arkitektura onartua. VPN konfigurazio batek eta azalpen kontzeptual batek ez dute akreditaziorik ezartzen. Urrats hori ez da papera; diseinua existitzea baimenduta dagoen erabakitzen du.