Guneen arteko VPNa: zein norabidek behar du benetan arau bat?

Bi muturrek tunel ezarria dutela jakinarazten dute, urruneko sukurtsalak atebidetik erantzuten du, eta aplikazioak oraindik denbora-muga gainditzen du alde bateko erabiltzaileentzat. Ohiko aholkuak bi norabideetan suebaki-arau bat gehitzea dio. Batzuetan zuzena da, batzuetan lehendik dagoen arau bat bikoizten du, eta batzuetan bigarren araua da egoera hausten duena. Zein kasu aplikatzen den suebakiak paketea non ikusten duen araberakoa da.

Itzulera-trafiko egoeradunak kopurua aldatzen du

Egoera duen suebaki batek eskaera erregistratzen du eta erantzuna onartzen du bigarren arau bat gabe, beraz arau bakarra behar duen diseinua normala da. Egoerarik gabeko sarbide-zerrendak ez du halako memoriarik, eta erantzuna berariaz baimendu behar da. Biak zuzenak dira beren plataforman, eta horregatik kontrajartzen dira aholkuak.

Irakurri aurrean duzun plataformaren birbidaltze-dokumentazioa, eta egiaztatu editatzen ari zaren politikak egoera duen paketea ikusten duen tokian. Trafiko ezarrirako ukatze esplizitu batek, edo egoera-taularen aurretik erantzuna ebaluatzen duen arau-ordenak, diseinu funtzionala harrigarri bihurtzen du. Arau-kopurua inplementazio-xehetasuna da, eta baldintza, berriz, baimendutako elkarrizketa baten bi norabideak osatu ahal izatea.

Non ikusten ditu suebakiak deszifratutako paketeak

Politikan oinarritutako tunel batean, suebakiak pakete zifratua deszifratu aurretik eta pakete deszifratua ondoren ebalua ditzake, interfaze desberdinetan. Interfaze okerrarentzat idatzitako arau bat han dago, zuzena da eta ez du inoiz bat egiten. Horrela, funtzionatzen duen inplementazio batetik kopiatutako arau-multzo batek huts egin dezake hardware berdinean.

Ibilbidean oinarritutako IPsec-ek eta inplementazio moderno gehienek tunel-interfaze bat aurkezten dute, beraz pakete deszifratua hara iristen da eta interfaze-arau arruntak aplikatzen dira. Egiaztatu zein eredu erabiltzen duen inplementazioak beste baterako idatzitako gidatik arau-multzo bat kopiatu aurretik. Tunel-interfazea ere begiratzeko lekua da paketea deszifratu den ala ez jakin behar duzunean.

Ibilbide asimetrikoak ustekabea hausten du

Egoera duen suebaki batek elkarrizketaren bi erdiak ikusten dituela suposatzen du. Erantzuna atebide desberdin batetik itzultzen bada, gailu horrek ez du eskaerarako egoerarik eta bere politikaren arabera botatzen du. Sintoma norabide bakarreko hutsegitea da, eta bidaltzailearen aldeko inolako arauk ezin du konpondu. Jarraitu erantzunaren bidea ezer editatu aurretik.

Egiaztatu erantzunaren ibilbidea bi aldeetan baimen-arau zabal bat gehitu aurretik. Interfaze guztietan dena onartzeak ibilbide-errorea ezkutatzen du eta sarbidea aldi berean zabaltzen du, eta hori da eskuragarri dagoen konbinazio okerrena.

Egiaztatu bi norabideak benetako iturburu-helbideekin

Probatu urruneko aldeak benetan ikusten duen helbidearekin, itzulpenak iturburu-arau bat inorekin bat ez egitea eragin baitezake. Exekutatu harrapaketa bi atebideetan aldi berean.

tcpdump -ni any 'host 10.30.8.15 and tcp port 443'
nft list ruleset | grep -A 8 'chain forward'
ip route get 10.30.8.15
conntrack -L | grep 10.30.8.15

Urruneko atebidean ustekabeko iturburu-helbide batekin agertzen den eskaera batek inoiz bat egiten ez duen arau bat azaltzen du, eta interfaze okerrean iristen den erantzun batek egoera-desadostasuna azaltzen du. Ondoren, probatu helmuga bat onartutako esparruaren barruan eta beste bat kanpoan, muga suposatu beharrean erakusteko.

Erregistratu iturburu-helbidea itzulpenaren ondoren, pakete deszifratuak erabilitako interfazea eta bat egin duen araua. Hiru datu horiek hurrengo txartelari erantzuten diote ikerketa osoa errepikatu gabe.