તમારી સાઇટનું VPN ક્યાં પૂરું થાય છે તે નક્કી કરે છે કે શું તપાસવામાં આવશે

સાઇટો વચ્ચેની સુરંગ એક વિગત છુપાવે છે જે આખું નિરીક્ષણ ડિઝાઇન નક્કી કરે છે: તે જ ઉપકરણ જેના પર આંતરિક પેકેટ સ્પષ્ટ લખાણમાં દેખાય છે. તે બિંદુ પહેલાં બધું ESP જુએ છે, અને તેના પછી બધું સામાન્ય IP જુએ છે જેને કોઈ નિયમ પકડી શકે છે. સીમા ખોટી જગ્યાએ મૂકો અને જે ફાયરવોલ માટે તમે પૈસા આપ્યા તે લાઇસન્સવાળું રાઉટર બની જાય છે. નીચેનું માર્ગદર્શન પહેલાં રેખા દોરે છે અને પછી જ પૂછે છે કે કયું ઉપકરણ તેનું માલિક હોવું જોઈએ.

રેખા ત્યાં દોરો જ્યાં પેકેટ હવે એન્ક્રિપ્ટેડ રહેતું નથી

ટનલ મોડમાં મૂળ પેકેટ એન્ક્રિપ્ટ થાય છે અને સહયોગી ગેટવેને સંબોધિત નવા બાહ્ય IP હેડરમાં લપેટાય છે. તે બાહ્ય પેકેટ ESP માટે પ્રોટોકોલ 50 વહન કરે છે, તેથી બંને ગેટવે વચ્ચેનું કોઈપણ ઉપકરણ આંતરિક સરનામાં વાંચ્યા વિના તેને રાઉટ કરી શકે છે. ડિક્રિપ્ટ કરતું પહેલું ઉપકરણ તે જ સુરક્ષા સીમા છે, અને તે જ આંતરિક પ્રવાહ પર નીતિ લાગુ કરી શકતું પહેલું ઉપકરણ છે. તે બિંદુ નીચે બધું સામાન્ય રાઉટિંગ છે.

ચિત્ર પર ત્રણ વસ્તુઓ ચિહ્નિત કરો: ESP સ્વીકારતું બાહ્ય અંતિમ બિંદુ, નીતિમાં નામ આપેલા સુરક્ષિત નેટવર્ક, અને ડિક્રિપ્ટ થયેલું પેકેટ લેતું આગળનું કૂદકું. જો આ ત્રણ એક જ ઉપકરણ પર ન હોય તો તમારી પાસે ડિઝાઇન કરવા જેવું હસ્તાંતરણ છે, એક જ નિયંત્રણ બિંદુ નહીં.

RFC 4301 ડિક્રિપ્ટ કરતા ઉપકરણને સુરક્ષા ગેટવે કહે છે અને તેની નીતિને સીમાનો ભાગ ગણે છે. આ ઉત્પાદન શ્રેણી કરતાં વધુ ઉપયોગી ઢાંચો છે, કારણ કે ઉપકરણ ત્યારે સીમા છે જ્યારે તે નીતિ રાખે છે, ત્યારે નહીં જ્યારે તેની ડેટા શીટ ફાયરવોલ કહે છે.

ફાયરવોલ સમાપ્તિ તરીકે: એક ઉપકરણ, એક નીતિ બિંદુ

જ્યારે ફાયરવોલ સુરંગ પૂરી કરે છે, ત્યારે ઉપરના રાઉટરે ફક્ત ESP તેને પહોંચાડવાનું હોય છે. ફાયરવોલ સહયોગીની પ્રામાણિકતા ચકાસે છે, ડિક્રિપ્ટ કરે છે અને પછી સર્વર VLAN તરફ જતાં આંતરિક પેકેટ પર પોતાના સામાન્ય નિયમો લાગુ કરે છે. આમ નીતિ વાંચવાની એક જગ્યા અને લોગ વાંચવાની એક જગ્યા મળે છે, જે સામાન્ય રીતે ઓડિટ માંગે છે.

બંને પરવાનગીઓ અલગ તપાસો. ઉપકરણ તરફ IKE અને ESP ની પરવાનગી આપવી એ દૂરસ્થ સાઇટને સર્વર સુધી પહોંચવાની પરવાનગી આપવા જેવો એ જ નિયમ નથી, અને જે ફાયરવોલ સુરંગ સ્વીકારે પણ આંતરિક પ્રવાહ અવરોધે તે બીજા છેડેથી બરાબર તૂટેલી સુરંગ જેવી દેખાય છે.

કિંમત એ છે કે ફાયરવોલ હવે સાઇટના બધા ટ્રાફિકના રસ્તે છે, તેથી તેનું થ્રુપુટ, સત્ર મર્યાદા અને નિષ્ફળતા પર સ્વિચ થવાનું વર્તન જ સુરંગનું વર્તન બની જાય છે. તેને સંયુક્ત સાઇટ પ્રવાહો માટે માપો, કદાચ ખરીદેલી દૂરસ્થ પ્રવેશ પ્રોફાઇલ માટે નહીં.

રાઉટર સમાપ્તિ તરીકે: નિરીક્ષણનું કૂદકું વૈકલ્પિક થઈ જાય છે

જ્યારે રાઉટર ડિક્રિપ્ટ કરે છે, પેકેટ રાઉટિંગ કોષ્ટક સુધી પહોંચતા પહેલેથી સ્પષ્ટ હોય છે. જો અલગ ફાયરવોલે તે ટ્રાફિક તપાસવાનો હોય, તો રાઉટરે તેને ફાયરવોલમાંથી મોકલવું પડે અને પરતનો રસ્તો તે જ રીતે પાછો આવવો જોઈએ. રાઉટરથી સર્વર VLAN સુધીનો સીધો રસ્તો ફાયરવોલને ચૂપચાપ રસ્તામાંથી દૂર કરે છે પણ ચિત્રમાં રાખે છે.

આ જ તે ખામી છે જે હાલના નેટવર્કમાં શોધવી જોઈએ: એક જ પ્રીફિક્સ તરફ બે રસ્તા, એક ફાયરવોલમાંથી અને એક સીધો, અને સીધો પ્રીફિક્સ લંબાઈ કે મેટ્રિક પર જીતી જાય છે. સુરંગ હજી ટ્રાફિક પસાર કરે છે અને તમે જે નિરીક્ષણ માનો છો તે થતું નથી.

રસ્તા આધારિત સુરંગો આને દૃશ્ય બનાવે છે, કારણ કે સુરંગ એ ઇન્ટરફેસ છે જેના દ્વારા બીજા ઉપકરણમાંથી રાઉટ કરી શકાય છે. નીતિ આધારિત સુરંગો ટ્રાફિકને પસંદકર્તા દ્વારા પસંદ કરે છે, જે ડિક્રિપ્ટ થયેલું પેકેટ રાઉટર પર બીજા ગંતવ્ય વિના છોડી શકે છે.

બંને ઉમેદવારોને એ જ પાંચ પ્રશ્નો પૂછો

ટૂંકી કાર્યપત્રિકા લક્ષણ મેટ્રિક્સને હરાવે છે, કારણ કે દરેક પ્રશ્ન ચિત્રની એક રેખા સાથે મેળ ખાય છે. દરેક ઉમેદવારને પૂછો:

• કયા IKE સંસ્કરણ, કઈ સહયોગી પ્રમાણીકરણ પદ્ધતિઓ અને કયા રાઉટિંગ મોડેલ આ રિલીઝ ખરેખર સમર્થન આપે છે?
• ESP ક્યાં સ્વીકારાય છે અને ડિક્રિપ્ટ થયેલો પ્રવાહ ક્યાં મંજૂર કે નકારાય છે?
• સ્થાનિક યજમાન દૂરસ્થ પ્રીફિક્સ કેવી રીતે શીખે છે અને બીજી બાજુ તમારા કેવી રીતે શીખે છે?
• વાસ્તવિક ભાર માટે અંતિમ બિંદુએ કેટલું થ્રુપુટ, કેટલા સત્રો અને નિષ્ફળતા પર સ્વિચ થવાનું કેવું વર્તન સહેવું પડે?
• જ્યારે સુરંગ જ ખરાબ વસ્તુ હોય, ત્યારે સહયોગીના ઓળખપત્રો, નીતિ અને પુનઃપ્રાપ્તિ માર્ગનો માલિક કોણ છે?

pfSense નીતિ આધારિત અને રસ્તા આધારિત IPsec ને અલગ મર્યાદાઓવાળા અલગ મોડેલ તરીકે નોંધે છે, અને આ ફરક બોક્સ પરના લેબલ કરતાં વધુ મહત્ત્વનો છે. તમે ખરેખર જે રિલીઝ તૈનાત કરશો તેમાં ચોક્કસ મોડ અને ડિક્રિપ્ટ થયેલા ટ્રાફિકની સમર્થિત ગાળણી તપાસો.

જો કોઈ ઉમેદવાર બીજા પ્રશ્નનો જવાબ એવા નિયમથી ન આપી શકે જે તમે વાંચી શકો, તો તે તમારી ઇચ્છિત સીમા નથી, બાકી બધું ગમે તેટલું સારું કરે. હા ના બદલે નિયમનો પાઠ માંગો અને અસ્પષ્ટ જવાબને ના ગણો.

રસ્તાને કેપ્ચરથી ચકાસો, ચિત્રથી નહીં

ચિત્ર ઇરાદો બતાવે છે અને કેપ્ચર વર્તન, તેથી કોઈ એક પર ભરોસો કરતાં પહેલાં ખાતરી કરો કે કયું ઇન્ટરફેસ ESP અને કયું આંતરિક પ્રવાહ વહન કરે છે.

tcpdump -ni wan0 esp
tcpdump -ni lan0 host 10.60.4.20
ip xfrm policy list

જો પહેલું કેપ્ચર ESP આવતું દેખાડે અને બીજું આંતરિક પેકેટ LAN બાજુ દેખાડે, તો ડિક્રિપ્શન બિંદુ ત્યાં જ છે જ્યાં તમે વિચારો છો. જો આંતરિક પેકેટ એવા સેગમેન્ટ પર દેખાય જે ફાયરવોલને બાયપાસ કરે, તો રાઉટિંગ ખોટું છે, નીતિનો પાઠ ગમે તે કહે. xfrm યાદી પછી બતાવે છે કે કયા પસંદકર્તા સ્થાપિત છે અને કઈ દિશામાં.

પરતના રસ્તે કેપ્ચરનું પુનરાવર્તન કરો, કારણ કે સાઇટના બે શક્ય નિકાસ હોય ત્યારે અસમમિત રાઉટિંગ સામાન્ય છે. જે સુરંગ એક દિશામાં કામ કરે અને બીજીમાં સમય પૂરો થાય, તે લગભગ હંમેશાં આ જ હોય છે, અને બીજી બાજુનું કોઈ નીતિ સંપાદન તેને સુધારતું નથી.