תנועת לקוח VPN ומצב חומת האש: זרימה חיצונית מול פנימית
זרימת המנהרה והחיבור לאחר ביטול העיטוף הם מנות שונות. החליטו איזו מהם אתם מתירים, והאם כל גבול עוקב אחרי מצב.
לחיצת היד של VPN מסתיימת, הלקוח מקבל כתובת, ושירות מאחורי השער עדיין מסרב לחיבור. לעיתים קרובות חומת האש עושה בדיוק את מה שנאמר לה. היא התירה את זרימת המנהרה החיצונית, שהיא מנה שונה מחיבור האפליקציה לאחר ביטול העיטוף. מכאן נובעות שתי החלטות: איזו זרימה אתם מתירים, והאם הגבול עוקב אחרי מצב בכלל.
עד שתפרידו בין השניים, כל שינוי כלל הוא ניחוש.
חומת האש רואה שתי מנות שונות
לפני ביטול העיטוף, חומת האש רואה תנועה הממוענת לנקודת הקצה של VPN: זרימת UDP חיצונית אל המאזין. לאחר ביטול העיטוף, מנה מועברת נושאת את הכתובת הפנימית של הלקוח ואת יעד השירות.
התר עבור הזרימה החיצונית אינו מאשר את חיבור ה-TCP המועבר. אפשר להעריך אותם בשרשראות שונות, מול ממשקים שונים ועם כתובות שונות לאחר תרגום.
השוו לכידות מעמדות שקולות משני הצדדים. לכידה בקצה המנהרה ולכידה בשרת מציגות טאפלים שונים לאותו מושב.
ההחלטה הראשונה: להתיר את המנהרה או את השירות
אם הלקוח זקוק רק לנקודת הקצה של VPN עצמה, ייתכן שההתר החיצוני מספיק. אם הוא זקוק לשירות מעבר לשער, דרוש התר העברה ליעד ולפורט האלה. כלל מנהרה שמתיר גם את השירות הוא בחירת תכנון שכדאי לנקוב בשמה, לא תאונה.
השאירו את טווח הלקוח ואת היקף השירות צרים. התר מרשת המשנה של המנהרה אל כל הרשת המקומית הוא החלטה לבטוח בכל מארח, לא קיצור דרך לאפליקציה אחת.
רשמו את שני הכללים בנפרד. כלל המנהרה וכלל השירות נכשלים בדרכים שונות ומאובחנים בראיות שונות. כשאחד נכשל, אתם יודעים איזו שכבה לבדוק קודם.
ההחלטה השנייה: עם מצב או בלי מצב בכל גבול
כלל לזרימה מבוססת יכול להתיר תשובות לחילוף מותר, אך התנהגותו תלויה במוצר. קבוצת אבטחה בענן עוקבת בדרך כלל אחרי מצב; רשימת בקרת גישה של רשת משנה לרוב אינה עוקבת אחרי מצב ודורשת טיפול מפורש בשני הכיוונים. אל תניחו שכל גבול במסלול מתייחס למצב באותה דרך. פרטו כל גבול וסמנו אותו עם או בלי מעקב מצב לפני שתתכננו את הכללים.
אם כלל משתנה, זרימות במעקב קיימות עשויות להמשיך לעבוד בעוד שחדשות נכשלות, או להפך. ההבדל הזה הוא רמז שימושי, לא סיבה לרוקן את כל מצב החיבורים בשער פעיל.
בדקו עם בקשה חדשה ומבוקרת, ואז בחנו את המונים הרלוונטיים. בדיקה נקייה עדיפה על איפוס מטריד. רשמו את שם המונה ביומן השינוי כדי שהבדיקה הבאה תשתמש באותה ראיה.
אמתו את מסלול החזרה תחת אותה מדיניות
שלחו בקשה חדשה מהלקוח אל השירות, ואז בדקו את מוני הקדימה והחזרה בכל גבול. אשרו שהתשובה משתמשת במסלול שאתם מצפים לו, במיוחד אם יש תרגום בדרך.
השאירו את טווח הלקוח המיועד ואת היקף השירות צרים, ואמתו את מסלול החזרה תחת אותה קבוצת כללים שהתירה את הבקשה. כלל שעובד רק מפני שזרימה ישנה עדיין פתוחה אינו כלל עובד.