Conas rochtain idir dhá oifig atá ceangailte le VPN a theorannú

Freagraíonn tollán ó shuíomh go suíomh ceist amháin, an féidir leis an dá oifig paicéid a mhalartú, agus fágann sé an cheann thábhachtach oscailte: cén gléas brainse a fhéadann teacht ar cén tseirbhís lárnach. Is é an tollán a mheas mar iontaoibh fhrithpháirteach an bealach a gcríochnaíonn ríomhaire glúine aoi ar an mbealach céanna leis an bhfreastalaí airgeadais. Ní tollán níos fearr an réiteach, ach liosta ceada follasach a chuirtear i bhfeidhm tar éis an díchriptithe. Tugann an lámhleabhar seo an liosta sin ó shainmhíniú go diúltú cruthaithe.

Oibrigh san ord seo, agus ná leathnaigh bealach an tolláin go dtí go n-éireoidh leis na céimeanna beartais thíos.

Scríobh an mhaitrís sula mbaineann tú don gheata

Ainmníonn ró úsáideach trí rud: grúpa foinse, óstach nó líonra seirbhíse cinn scríbe, agus an prótacal agus an port a úsáideann an feidhmchlár i ndáiríre. Ní hiontrálacha iad an brainse ná an t-ionad sonraí. Ní thuilleann DNS príobháideach agus seirbhísí fíordheimhniúcháin a róla féin ach amháin nuair nach féidir leis an bhfeidhmchlár oibriú gan iad.

Déan na foinsí a ghrúpáil de réir róil seachas de réir áise fo-líonra: foireann, aíonna, riarachán. Nuair a roinneann an triúr aon LAN chomhréidh amháin, ní féidir leis an ngeata iad a idirdhealú ag ciseal an líonra, mar sin caithfidh rialuithe aitheantais nó deighilt teacht ar dtús. Ansin cuir an mhaitrís i scríbhinn le húinéir agus dáta athbhreithnithe ar gach ró.

Cuir i bhfeidhm san áit a ndíchriptítear na paicéid

Ní thógann na rialacha a cheadaíonn IKE agus ESP ach an tollán seachtrach. Tagann trácht inmheánach isteach go soiléir ar chomhéadan an tolláin, agus is ansin atá an liosta ceada: slabhra seolta ar aghaidh ar an ngléas díchriptithe, scriosadh réamhshocraithe, riail amháin in aghaidh gach ró den mhaitrís. Ar gheataí Linux ciallaíonn sé sin seoladh ar aghaidh cumasaithe agus rialacha scagtha ar ghléas an tolláin, ní ar an nasc fisiceach, mar a mhíníonn treoir seolta ar aghaidh strongSwan.

Is cinneadh ródaithe iad roghnóirí tráchta, ní cinneadh údaraithe. Is féidir le roghnóir leathan a chlúdaíonn an dá fho-líonra a bheith ceart don ródú agus an balla dóiteáin fós ag ceadú TCP 443 chuig óstach amháin. Déantar an roghnóir a chaibidil don tollán agus cuireann sé síos ar a bhféadann teacht isteach ann, ní ar a bhféadann aon ghléas áirithe a úsáid. Ná leathnaigh riail balla dóiteáin riamh toisc go bhfuil an roghnóir leathan.

iptables -A FORWARD -i tun0 -s 10.20.0.0/24 -d 10.10.5.10 -p tcp --dport 443 -j ACCEPT
iptables -A FORWARD -i tun0 -j DROP

Athraíonn NAT agus fo-líonraí forluiteacha na rialacha

Nuair a aistríonn geata an bhrainse gach óstach go haon seoladh amháin roimh an tollán, titeann gach ró bunaithe ar fhoinse isteach sa seoladh aonair sin. Stop aistriú tráchta an tolláin, nó glac leis gur gá do rialacha a bheith bunaithe ar rud éigin eile, mar an seoladh foinse bunaidh a taifeadadh roimh an aistriú. Tá an fhadhb chéanna ag an gceann i bhfad, mar feiceann óstach an chinn scríbe an seoladh i ndiaidh NAT seachas an ceann bunaidh.

Is é na raonta forluiteacha an gaiste eile. Ní féidir dhá oifig a úsáideann 192.168.1.0/24 araon a chur síos i dtábla beartais amháin gan taobh amháin a mhapáil, agus ní thagann mapáil in ionad seoladh nach dtéann in achrann. Deisigh an plean sula scríobhfaidh tú rialacha a chaithfidh tú a réiteach níos déanaí.

Cruthaigh diúltú, ní hamháin rath

Ní chruthaíonn tástáil an fheidhmchláir cheadaithe amháin mórán, mar tá riail cheadaitheach éigin níos faide suas a thugann an toradh céanna.

Ó ghléas brainse coitianta, sroich an tseirbhís atá beartaithe agus deimhnigh go n-oibríonn an seisiún iomlán. Ansin bain triail as ceann scríbe a chaithfidh fanacht dúnta, mar port riaracháin ar fhreastalaí nach bhfuil gnó ar bith ag an mbrainse leis, agus léigh an áiritheoir nó an iontráil loga a dhiúltaigh dó. Má dhíghníomhaíonn tú an tsraith rialacha chun a fheiceáil an n-oibríonn sé, déantar an tástáil a neamhbhailíochtú agus fágtar an geata oscailte agus tú ag breathnú.

Coinnigh an liosta beo

Bogann feidhmchláir, agus déantar riail a mhaireann níos faide ná a feidhmchlár ina pholl nach bhfuil úinéir ag aon duine air. Ceangail an dáta athbhreithnithe leis an ró, agus athraigh scóip an roghnóra agus riail an bhalla dóiteáin sa chéim chothabhála chéanna nuair a athraíonn seirbhís seoladh.

Tá tábhacht fós le srianta ar leibhéal óstaigh taobh thiar den tollán: ba cheart do bhalla dóiteáin an fhreastalaí féin raon an bhrainse a ghlacadh don tseirbhís a fhoilsíonn sé amháin. Tá dhá chiseal a aontaíonn níos éasca le hiniúchadh ná ciseal amháin a gcuirtear muinín iomlán ann.