Toimipaikkojen välinen VPN: kumpi suunta todella tarvitsee säännön?

Molemmat päät ilmoittavat muodostetusta tunnelista, etätoimipiste vastaa yhdyskäytävältä, ja sovellus aikakatkaisee silti toisella puolella oleville käyttäjille. Tavallinen neuvo kehottaa lisäämään palomuurisäännön molempiin suuntiin. Joskus se on oikein, joskus se monistaa jo olemassa olevan säännön, ja joskus juuri toinen sääntö rikkoo tilan. Mikä tapaus pätee, riippuu siitä, missä palomuuri näkee paketin.

Tilallinen paluuliikenne muuttaa määrää

Tilallinen palomuuri tallentaa pyynnön ja päästää vastauksen läpi ilman toista sääntöä, joten vain yhtä sääntöä tarvitseva suunnittelu on normaalia. Tilattomalla käyttöluettelolla ei ole sellaista muistia, ja vastaus on sallittava nimenomaisesti. Molemmat ovat oikein omalla alustallaan, ja siksi ohjeet ovat ristiriitaisia.

Lue edessäsi olevan alustan välitysdokumentaatio ja tarkista, onko muokkaamasi käytäntö tilallinen siellä, missä se näkee paketin. Nimenomainen kielto muodostetulle liikenteelle tai sääntöjärjestys, joka arvioi vastauksen ennen tilataulukkoa, muuttaa toimivan suunnittelun hämmentäväksi. Sääntöjen määrä on toteutuksen yksityiskohta, kun taas vaatimus on, että sallitun keskustelun molemmat suunnat voivat valmistua.

Missä palomuuri näkee salatut paketit purettuina

Käytäntöperusteisessa tunnelissa palomuuri voi arvioida salatun paketin ennen salauksen purkamista ja puretun paketin sen jälkeen eri liitäntöjen kautta. Väärälle liitännälle kirjoitettu sääntö on olemassa, oikein eikä koskaan täsmää. Näin toimivasta käyttöönotosta kopioitu sääntöjoukko voi epäonnistua identtisellä laitteistolla.

Reittiperusteinen IPsec ja useimmat nykyaikaiset toteutukset esittävät tunneliliitännän, joten purettu paketti saapuu sinne ja tavalliset liitäntäsäännöt pätevät. Vahvista, mitä mallia käyttöönotto käyttää, ennen kuin kopioit sääntöjoukon toiselle mallille kirjoitetusta oppaasta. Tunneliliitäntä on myös paikka, josta kannattaa katsoa, kun haluat tietää, purettiinko paketti lainkaan.

Epäsymmetrinen reititys rikkoo oletuksen

Tilallinen palomuuri olettaa näkevänsä keskustelun molemmat puolet. Jos vastaus palaa toisen yhdyskäytävän kautta, sillä laitteella ei ole pyynnön tilaa ja se pudottaa sen oman käytäntönsä mukaisesti. Oire on yksisuuntainen vika, jota mikään sääntö lähettävällä puolella ei voi korjata. Jäljitä vastauksen reitti ennen kuin muutat mitään.

Tarkista vastauksen reitti ennen kuin lisäät laajan sallimissäännön molemmille puolille. Kaiken sietäminen jokaisella liitännällä piilottaa reititysvirheen ja laajentaa samalla pääsyä, mikä on huonoin mahdollinen yhdistelmä.

Tarkista molemmat suunnat todellisilla lähdeosoitteilla

Testaa osoitteella, jonka etäpuoli todella näkee, sillä käännös voi saada lähdesäännön täsmäämään ei mihinkään. Suorita kaappaus molemmilla yhdyskäytävillä samanaikaisesti.

tcpdump -ni any 'host 10.30.8.15 and tcp port 443'
nft list ruleset | grep -A 8 'chain forward'
ip route get 10.30.8.15
conntrack -L | grep 10.30.8.15

Pyyntö, joka ilmestyy etäyhdyskäytävälle odottamattomalla lähdeosoitteella, selittää säännön, joka ei koskaan täsmää, ja väärälle liitännälle saapuva vastaus selittää tilan epäsovun. Testaa sitten yksi kohde hyväksytyn laajuuden sisällä ja yksi sen ulkopuolella, jotta raja osoitetaan eikä oleteta.

Kirjaa lähdeosoite käännöksen jälkeen, liitäntä jota purettu paketti käytti ja sääntö joka täsmäsi. Nämä kolme tosiasiaa vastaavat seuraavaan tikettiin toistamatta koko tutkintaa.