Fersifere trochgong jout gjin tagong ta de ferfierder

Twa goedkarde poarten drage it ferkear fan in netwurk mei legere fertrouwen oer in beheind ferfiersnetwurk. It fersiferjen fan 'e lading hâldt it ûnlêsber foar gewoane waarnimmers fan 'e trochgong, en dat is it diel dat minsken earst ûntwerpe en dan ophâlde der oer te tinken. Wat fersifering net docht, is bepale hokker boarnen de legere-fertrouwenskant berikke mei. It ûntwerp hat twa grinzen nedich: ien om it ferfierde petear en ien om tagong ta de ferfierder sels.

Fier de stappen hjirûnder yn folchoarder út, en behannelje in flater by hokker stap dan ek as in ûntwerpferoaring, net as in oanpassing fan 'e konfiguraasje.

Bepaal beide grinzen foardat jo in konfiguraasje oanreitsje

De earste grins is it petear: hokker pearen poarten meie in tunnel opsette, en hokker ynterne ferkear mei der troch. De twadde is de ferfierder: hokker adressen en tsjinsten de hosts mei legere fertrouwen bûten de tunnel berikke meie. Teams bouwe meastentiids de earste en ervje de twadde fan hokker rûtearing dan ek al bestie, en sa wurdt in beheind ûntwerp stil in breed ien. Dy erfenis is de gewoane grûnoarsaak as in resinsje in host mei legere fertrouwen fynt dy't praat mei eat dat nimmen goedkard hat.

Skriuw beide op as listen fan adressen, poarten en rjochtings. As in list net skreaun wurde kin, is de grins noch net bepaald.

Stap 1: behein de bûtenste tunnel

Op 'e ynterface nei de ferfierder ta meie jo allinnich tastean wat de tunnel nedich hat: IKE op UDP 500 en 4500 tusken de twa poartadressen, en ESP dêr't NAT-trochgong net brûkt wurdt. Wegerje al it oare dat op dy ynterface oankomt, ynklusyf behearprotokollen. De ESP-spesifikaasje beslacht de beskermingstsjinsten; it seit neat oer hokker eigen tsjinsten fan 'e ferfierder de poarten brûke meie. Utter dat as in eksplisite tastienlist, sadat in nij publisearre tsjinst fan 'e ferfierder net by default berikber wurdt.

Dat is de regelset dy't it ûntwerp in trochgongûntwerp makket en net in peering-regeling.

Kontrolearje it fan 'e legere-fertrouwenskant, net fan 'e poartekonsole. In host dêr heart gjin DNS-tsjinner fan 'e ferfierder berikke te kinnen, sels foardat de tunnel oerein is.

Stap 2: beslute wat de fiere poarte leveret

Oan 'e fiere ein moat weromfûn ferkear nei in beskaat plak gean. Bepaal hokker ynterne tsjinsten tastien binne, fan hokker boarneberik, en oft antwurden symmetrysk ferwachte wurde. Besjoch beheartagong apart, want deselde poarte eksposearret faak in administratyf ynterface dat nea diel fan it trochgongplan wie.

In diagram dat by suksesfolle ûntsifering stopt, hat it beslút oerslein dat it meast fan belang is.

Stap 3: hâld eigendom per laach

Trochgongapparatuer ûntfangt en stjoert noch altyd bûtenste pakketten, dat it hat patches en kapasiteitsplanning nedich. Tuneleinen ferwurkje it beskerme protokol en eksposearje ynterne ferkear oan har trochstjoerpaad, dat se hawwe har eigen regels en har eigen monitoring nedich. Einapplikaasjes ferwurkje de lading, en in ûntrochsichtige lading is gjin bewiis dat in ûntsifere download harmless is.

Jou elke laach in eigner. De lagen sûnder eigner binne dejingen dy't ôfdriuwe.

Stap 4: ferifiearje, en jou it dan oan 'e autoriteit

Ferifiearje it bûtenpaad mei de tunnel oerein en de regels fan 'e ferfierder op har plak. Probearje dan elke boarne dy't de legere-fertrouwenskant net berikke heart, en befêstigje dat de flater in wegering is en net in time-out dy't in rûte ferberget. Kontrolearje ek beskikberens en boarnegrenzen, want in fersifere keppeling kin noch altyd fersêdje.

Foar regele of klassifisearre omjouwings, bring it ûntwerp nei de ferantwurdlike feilichheidsautoriteit en brûk syn goedkarde skiedingsarsjitektuer. In VPN-konfiguraasje en in konseptuele útlis fêstigje gjin akkreditaasje. Dy stap is gjin papierwurk; it beslút oft it ûntwerp überhaupt bestean mei.