VPN-klintferkear en fjoermuorstaat: bûten- en binnenstream
De tunnelstream en de dekapsulearre ferbining binne ferskillende pakketten. Beslis hokker jo tastean, en oft elke grins steat folget.
De VPN-hânskodding makket klear, de klint krijt in adres, en in tsjinst efter de poarte wegeret noch de ferbining. De fjoermuorre docht faak krekt wat him sein is. Hy hat de bûtenstream fan de tunnel tastien, dat in oar pakket is as de dekapsulearre tapassingsferbining. Twa besluten folgje: hokker stream jo tastean, en oft de grins hielendal steat folget.
Oant jo dy twa skiede, is elke regelwiziging in gissing.
De fjoermuorre sjocht twa ferskillende pakketten
Foar de dekapsulaasje sjocht de fjoermuorre ferkear dat oan it VPN-einpunt rjochte is: in bûtenstream UDP nei de listener. Nei de dekapsulaasje draacht in trochstjoerd pakket it binnenadres fan de klint en de bestimming fan de tsjinst.
In tastimming foar de bûtenstream jout gjin foech oan de trochstjoerde TCP-ferbining. Se kinne yn ferskillende keatlingen, tsjin ferskillende ynterfaces en mei ferskillende adressen nei oersetting beoardiele wurde.
Fergelykje opnamen fan lykweardige posysjes oan beide kanten. In opname by de tunnelrâne en in opname by de tsjinner litte ferskillende tuples sjen foar deselde sesje.
Earste beslút: de tunnel of de tsjinst tastean
As de klint allinnich it VPN-einpunt sels nedich hat, kin de bûtentastimming genôch wêze. As er in tsjinst efter de poarte nedich hat, hawwe jo in trochstjoertastimming foar dy bestimming en poarte nedich. In tunnelregel dy’t ek de tsjinst tastiet, is in ûntwerpkar dy’t jo beneame moatte, gjin ûngelok.
Hâld it klintberik en de omfang fan de tsjinst smel. In tastimming fan it tunnelsubnet nei it hiele LAN is in beslút om elk hostsysteem te fertrouwen, gjin fluchwei foar ien tapassing.
Skriuw beide regels apart op. De tunnelregel en de tsjinstregel mislearje op ferskillende manieren en wurde mei ferskillend bewiis debugt. As ien mislearret, witte jo hokker laach jo earst besjen moatte.
Twadde beslút: mei of sûnder steat by elke grins
In regel foar fêstige stream kin antwurden talitte foar in tastiene útwikseling, mar syn gedrach hinget fan it produkt ôf. In wolkfeiligensgroep folget meistal steat; in subnet-ACL folget faak gjin steat en freget eksplisite behanneling yn beide rjochtingen. Nim net oan dat elke grins op it paad steat itselde behannelet. List elke grins op en markearje dy mei of sûnder steatfolging foardat jo de regels ûntwerpe.
As in regel feroaret, kinne besteande folge streamen trochwurkje wylst nije mislearje, of oarsom. Dat ferskil is in nuttige oanwizing, gjin reden om alle ferbiningssteat op in libbene poarte te leegjen.
Test mei in farsk kontrolearre fersyk en besjoch de oanbelangjende tellers. In skjinne test is better as in fersteurende reset. Skriuw de namme fan de teller yn it feroaringsregister, sadat de folgjende test itselde bewiis brûkt.
Ferifiearje it werompaad ûnder itselde belied
Stjoer in nij fersyk fan de klint nei de tsjinst en besjoch dan de foarút- en weromtellers by elke grins. Befêstigje dat it antwurd it paad brûkt dat jo ferwachtsje, benammen as oersetting belutsen is.
Hâld it bedoelde klintberik en de omfang fan de tsjinst smel, en ferifiearje it werompaad ûnder deselde regelset dy’t it fersyk tastien hat. In regel dy’t allinnich wurket om’t in âlde stream noch iepen is, is gjin wurkjende regel.