એન્ક્રિપ્ટેડ ટ્રાન્ઝિટ કેરિયર સુધી પ્રવેશ આપતું નથી

બે મંજૂર ગેટવે નીચા ભરોસાના નેટવર્કનો ટ્રાફિક મર્યાદિત ટ્રાન્સપોર્ટ નેટવર્ક દ્વારા લઈ જાય છે. પેલોડનું એન્ક્રિપ્શન તેને સામાન્ય ટ્રાન્ઝિટ નિરીક્ષકો માટે વાંચી ન શકાય તેવું રાખે છે, અને લોકો પહેલા આ ભાગની ડિઝાઇન કરે છે અને પછી તેના વિશે વિચારવાનું બંધ કરે છે. એન્ક્રિપ્શન જે કરતું નથી તે એ નક્કી કરવું છે કે નીચા ભરોસાની બાજુ કયા સંસાધનો સુધી પહોંચી શકે. ડિઝાઇનને બે સીમાઓની જરૂર છે: એક વહન થતી વાતચીતની આસપાસ અને એક કેરિયરની જ પ્રવેશની આસપાસ.

નીચેના પગલાં ક્રમમાં કરો અને કોઈપણ પગલે નિષ્ફળતાને ડિઝાઇન પરિવર્તન તરીકે ગણો, રૂપરેખાંકન ગોઠવણ તરીકે નહીં.

રૂપરેખાંકનને સ્પર્શ કરતા પહેલા બંને સીમાઓ નક્કી કરો

પ્રથમ સીમા વાતચીત છે: કયા ગેટવે જોડીઓ ટનલ સ્થાપિત કરી શકે અને તેમાંથી કયો આંતરિક ટ્રાફિક પસાર થઈ શકે. બીજી કેરિયર છે: નીચા ભરોસાના હોસ્ટ ટનલની બહાર કયા સરનામાં અને સેવાઓ સુધી પહોંચી શકે. ટીમો સામાન્ય રીતે પ્રથમ બનાવે છે અને બીજી પહેલેથી અસ્તિત્વમાં હોય તેવા કોઈપણ રૂટિંગમાંથી વારસામાં લે છે, અને એ રીતે મર્યાદિત ડિઝાઇન શાંતિથી વિશાળ બની જાય છે. જ્યારે સમીક્ષામાં જણાય કે નીચા ભરોસાનો હોસ્ટ કોઈએ મંજૂર ન કરેલી વસ્તુ સાથે વાત કરી રહ્યો છે, ત્યારે એ વારસો સામાન્ય મૂળ કારણ હોય છે.

બંનેને સરનામાં, પોર્ટ અને દિશાઓની યાદી તરીકે લખો. જો યાદી લખી ન શકાય, તો સીમા હજી નક્કી થઈ નથી.

પગલું 1: બાહ્ય ટનલને મર્યાદિત કરો

કેરિયર તરફના ઇન્ટરફેસ પર ફક્ત તે જ મંજૂર કરો જે ટનલને જરૂરી છે: બે ગેટવે સરનામાં વચ્ચે UDP 500 અને 4500 પર IKE, અને જ્યાં NAT ટ્રાવર્સલ વપરાતું નથી ત્યાં ESP. તે ઇન્ટરફેસ પર આવતું બાકીનું બધું, વ્યવસ્થાપન પ્રોટોકોલ સહિત, નકારો. ESP સ્પષ્ટીકરણ સંરક્ષણ સેવાઓને આવરી લે છે; ગેટવે કેરિયરની પોતાની કઈ સેવાઓ વાપરી શકે તે વિશે તે કંઈ કહેતું નથી. તેને સ્પષ્ટ મંજૂરી-યાદી તરીકે વ્યક્ત કરો, જેથી નવપ્રકાશિત કેરિયર સેવા ડિફોલ્ટ રૂપે પહોંચી શકાય તેવી ન બને.

આ નિયમસમૂહ જ ડિઝાઇનને પીઅરિંગ વ્યવસ્થાને બદલે ટ્રાન્ઝિટ ડિઝાઇન બનાવે છે.

તેને ગેટવે કન્સોલથી નહીં, નીચા ભરોસાની બાજુથી ચકાસો. ત્યાંના હોસ્ટને ટનલ ઊભી થાય તે પહેલાં પણ કેરિયરના DNS સર્વર સુધી પહોંચવામાં નિષ્ફળ જવું જોઈએ.

પગલું 2: દૂરનું ગેટવે શું પહોંચાડે છે તે નક્કી કરો

દૂરના છેડે પુનઃપ્રાપ્ત ટ્રાફિક કોઈ ચોક્કસ જગ્યાએ જવો જોઈએ. કઈ આંતરિક સેવાઓ મંજૂર છે, કયા સ્રોત શ્રેણીઓમાંથી, અને જવાબો સમમિતીય હોવાની અપેક્ષા છે કે નહીં તે નક્કી કરો. વ્યવસ્થાપન પ્રવેશ અલગથી સમીક્ષા કરો, કારણ કે એ જ ગેટવે ઘણી વાર એવું વહીવટી ઇન્ટરફેસ ખુલ્લું મૂકે છે જે ક્યારેય ટ્રાન્ઝિટ યોજનાનો ભાગ ન હતું.

સફળ ડિક્રિપ્શન પર અટકતો આકૃતિ સૌથી મહત્ત્વનો નિર્ણય ચૂકી ગયો છે.

પગલું 3: દરેક સ્તર માટે માલિકી રાખો

ટ્રાન્ઝિટ સાધનો હજી પણ બાહ્ય પેકેટ મેળવે અને આગળ મોકલે છે, તેથી તેને પેચ અને ક્ષમતા આયોજનની જરૂર છે. ટનલના અંતિમ બિંદુઓ સુરક્ષિત પ્રોટોકોલની પ્રક્રિયા કરે છે અને આંતરિક ટ્રાફિકને તેમના ફોરવર્ડિંગ માર્ગ પર ખુલ્લો મૂકે છે, તેથી તેમને પોતાના નિયમો અને પોતાની દેખરેખની જરૂર છે. અંતિમ એપ્લિકેશનો પેલોડની પ્રક્રિયા કરે છે, અને અસ્પષ્ટ પેલોડ એ ડિક્રિપ્ટ થયેલી ડાઉનલોડ નિરુપદ્રવી છે તેનો પુરાવો નથી.

દરેક સ્તરને માલિક સોંપો. જે સ્તરોનો માલિક નથી તે જ ભટકી જાય છે.

પગલું 4: ચકાસો, પછી તેને સત્તાધિકારીને સોંપો

ટનલ ઊભી હોય અને કેરિયરના નિયમો જગ્યાએ હોય ત્યારે બાહ્ય માર્ગ ચકાસો. પછી નીચા ભરોસાની બાજુએ ન પહોંચવું જોઈએ તેવા દરેક સંસાધનનો પ્રયાસ કરો અને ખાતરી કરો કે નિષ્ફળતા નકાર છે, માર્ગ છુપાવતો સમયસમાપ્તિ નથી. ઉપલબ્ધતા અને સંસાધન મર્યાદાઓ પણ ચકાસો, કારણ કે એન્ક્રિપ્ટેડ લિંક પણ સંતૃપ્ત થઈ શકે છે.

નિયંત્રિત કે વર્ગીકૃત વાતાવરણ માટે ડિઝાઇનને જવાબદાર સુરક્ષા સત્તાધિકારી પાસે લઈ જાઓ અને તેની મંજૂર વિભાજન સ્થાપત્યનો ઉપયોગ કરો. VPN રૂપરેખાંકન અને વૈચારિક સમજૂતી માન્યતા સ્થાપિત કરતાં નથી. એ પગલું કાગળકામ નથી; તે નક્કી કરે છે કે ડિઝાઇનને અસ્તિત્વમાં રહેવાની પરવાનગી છે કે નહીં.