VPN מאתר לאתר: איזה כיוון באמת צריך כלל?

שני הקצוות מדווחים על מנהרה שהוקמה, הסניף המרוחק עונה מהשער, והאפליקציה עדיין מגיעה לפסק זמן אצל משתמשים בצד אחד. העצה המקובלת אומרת להוסיף כלל חומת אש בשני הכיוונים. לפעמים זה נכון, לפעמים זה משכפל כלל שכבר קיים, ולפעמים דווקא הכלל השני הוא ששובר את המצב. איזה מקרה חל תלוי במקום שבו חומת האש רואה את החבילה.

תעבורת חזרה עם מצב משנה את הספירה

חומת אש עם מצב רושמת את הבקשה ומתירה את התשובה בלי כלל שני, ולכן עיצוב שצריך כלל אחד בלבד הוא נורמלי. רשימת גישה בלי מצב אינה זוכרת דבר כזה, והתשובה חייבת להיות מותרת במפורש. שניהם נכונים בפלטפורמה שלהם, ולכן העצות סותרות זו את זו.

קראו את תיעוד ההעברה של הפלטפורמה שלפניכם ובדקו אם המדיניות שאתם עורכים היא עם מצב במקום שבו היא רואה את החבילה. שלילה מפורשת לתעבורה מבוססת, או סדר כללים שמעריך את התשובה לפני טבלת המצב, הופכים עיצוב עובד לחידה. מספר הכללים הוא פרט מימוש, ואילו הדרישה היא ששני הכיוונים של שיחה מותרת יוכלו להסתיים.

היכן חומת האש רואה חבילות מפוענחות

במנהרה מבוססת מדיניות חומת האש עשויה להעריך את החבילה המוצפנת לפני הפענוח ואת החבילה המפוענחת אחריו, בממשקים שונים. כלל שנכתב עבור הממשק הלא נכון קיים, נכון ואינו מותאם לעולם. כך קבוצת כללים שהועתקה מפריסה עובדת עלולה להיכשל על חומרה זהה.

IPsec מבוסס ניתוב ורוב המימושים המודרניים מציגים ממשק מנהרה, ולכן החבילה המפוענחת מגיעה לשם וחלים כללי ממשק רגילים. אשרו איזה מודל הפריסה משתמשת בו לפני העתקת קבוצת כללים ממדריך שנכתב עבור האחר. ממשק המנהרה הוא גם המקום להסתכל בו כשצריך לדעת אם חבילה פוענחה בכלל.

ניתוב א-סימטרי שובר את ההנחה

חומת אש עם מצב מניחה שהיא רואה את שני חצאי השיחה. אם התשובה חוזרת דרך שער אחר, אותו התקן אינו מחזיק מצב עבור הבקשה ומפיל אותה לפי המדיניות שלו. התסמין הוא כשל חד-כיווני ששום כלל בצד השולח אינו יכול לתקן. עקבו אחר מסלול התשובה לפני עריכת כל דבר.

בדקו את מסלול התשובה לפני הוספת כלל הרשאה רחב בשני הצדדים. סובלנות לכל דבר בכל ממשק מסתירה את טעות הניתוב ומרחיבה את הגישה בו-זמנית, וזהו השילוב הגרוע ביותר שקיים.

בדקו את שני הכיוונים עם כתובות מקור אמיתיות

בדקו עם הכתובת שהצד המרוחק באמת רואה, משום שהמרה עלולה לגרום לכלל מקור לא להתאים לדבר. הריצו את הלכידה בשני השערים באותו זמן.

tcpdump -ni any 'host 10.30.8.15 and tcp port 443'
nft list ruleset | grep -A 8 'chain forward'
ip route get 10.30.8.15
conntrack -L | grep 10.30.8.15

בקשה שמופיעה בשער המרוחק עם כתובת מקור בלתי צפויה מסבירה כלל שלעולם אינו מותאם, ותשובה שמגיעה לממשק הלא נכון מסבירה אי-התאמה במצב. לאחר מכן בדקו יעד אחד בתוך ההיקף המאושר ואחד מחוצה לו, כדי שהגבול יודגם ולא יונח.

רשמו את כתובת המקור לאחר ההמרה, את הממשק שבו השתמשה החבילה המפוענחת ואת הכלל שהותאם. שלוש העובדות האלה עונות לכרטיס הבא בלי לחזור על כל החקירה.