VPN-asiakkaan liikenne ja palomuurin tila: ulkoinen ja sisäinen virtaus

VPN-kättely valmistuu, asiakas saa osoitteen, ja yhdyskäytävän takana oleva palvelu hylkii yhteyttä edelleen. Palomuuri tekee usein täsmälleen sen, mitä sille on sanottu. Se salli ulkoisen tunnelin virtauksen, joka on eri paketti kuin purettu sovellusyhteys. Siitä seuraa kaksi päätöstä: minkä virtauksen sallit ja seuraako raja ylipäätään tilaa.

Kunnes erotat ne kaksi, jokainen sääntömuutos on arvaus.

Palomuuri näkee kaksi eri pakettia

Ennen purkamista palomuuri näkee VPN-päätepisteelle osoitettua liikennettä: ulkoinen UDP-virtaus kuuntelijalle. Purkamisen jälkeen välitetty paketti kantaa asiakkaan sisäisen osoitteen ja palvelun kohteen.

Ulkoisen virtauksen sallinta ei valtuuta välitettyä TCP-yhteyttä. Ne voidaan arvioida eri ketjuissa, eri rajapinnoilla ja eri osoitteilla käännöksen jälkeen.

Vertaa kaappauksia vastaavista kohdista molemmilla puolilla. Kaappaus tunnelin reunalla ja kaappaus palvelimella näyttävät eri monikot samalle istunnolle.

Ensimmäinen päätös: sallitaanko tunneli vai palvelu

Jos asiakas tarvitsee vain VPN-päätepisteen itsensä, ulkoinen sallinta voi riittää. Jos se tarvitsee palvelun yhdyskäytävän takaa, tarvitset välityssallinnan sille kohteelle ja portille. Tunnelisääntö, joka sallii myös palvelun, on suunnittelupäätös, joka sinun pitäisi nimetä, ei vahinko.

Pidä asiakkaan alue ja palvelun laajuus kapeina. Sallinta tunnelin aliverkosta koko lähiverkkoon on päätös luottaa jokaiseen isäntään, ei oikotie yhdelle sovellukselle.

Kirjoita molemmat säännöt erikseen. Tunnelisääntö ja palvelusääntö epäonnistuvat eri tavoin ja niitä selvitetään eri todisteilla. Kun toinen epäonnistuu, tiedät mitä kerrosta tutkia ensin.

Toinen päätös: tila tai ei tilaa kullakin rajalla

Vakiintuneen virtauksen sääntö voi päästää vastaukset sallitulle vaihdolle, mutta sen käyttäytyminen riippuu tuotteesta. Pilven tietoturvaryhmä seuraa yleensä tilaa; aliverkon käyttöluettelo ei usein seuraa tilaa ja vaatii selvän käsittelyn molempiin suuntiin. Älä oleta, että jokainen raja reitillä käsittelee tilaa samoin. Listaa jokainen raja ja merkitse se tilaa seuraavaksi tai tilattomaksi ennen sääntöjen suunnittelua.

Jos sääntö muuttuu, olemassa olevat seuratut virtaukset voivat jatkaa toimintaansa, kun uudet epäonnistuvat, tai päinvastoin. Tämä ero on hyödyllinen vihje, ei syy tyhjentää kaikkea yhteystilaa tuotantoyhdyskäytävällä.

Testaa tuoreella valvotulla pyynnöllä ja tarkasta asiaankuuluvat laskurit. Puhdas testi on parempi kuin häiritsevä nollaus. Kirjaa laskurin nimi muutoslokkiin, jotta seuraava testi käyttää samoja todisteita.

Varmista paluupolku samalla käytännöllä

Lähetä uusi pyyntö asiakkaalta palveluun ja tarkasta sitten meno- ja paluulaskurit kullakin rajalla. Vahvista, että vastaus käyttää odotettua polkua, varsinkin jos käännös on mukana.

Pidä aiottu asiakasalue ja palvelun laajuus kapeina ja varmista paluupolku samalla sääntöjoukolla, joka salli pyynnön. Sääntö, joka toimii vain siksi, että vanha virtaus on yhä auki, ei ole toimiva sääntö.