डिक्रिप्शन के बाद: आपका VPN ट्रैफ़िक पहले कौन-सी नीति देखती है

VPN फ़्लो पूरी तरह एन्क्रिप्टेड और पूरी तरह प्रमाणित हो सकता है और फिर भी कहीं ऐसी जगह पहुँच सकता है जिसकी किसी ने योजना नहीं बनाई थी। आप जो केबल लगाते हैं वह तय नहीं करता कि कौन-सा नियम भीतरी पैकेट को संसाधित करता है; यह नीति-हुक और मार्ग तय करते हैं। इसलिए रैक आरेख पर एक जैसे दिखने वाले दो डिज़ाइनों का प्रवर्तन पूरी तरह अलग हो सकता है। इनके बीच चुनाव उस नियंत्रण का नाम लेने से शुरू होता है जो डिक्रिप्टेड फ़्लो को पहले देखता है।

पोर्ट से नहीं, नीति-हुक से निर्णय लें

हर VPN प्लेटफ़ॉर्म आगे भेजने से पहले किसी बिंदु पर डिक्रिप्टेड ट्रैफ़िक का मूल्यांकन करता है, और उस बिंदु का कॉन्फ़िगरेशन में नाम होता है। एक प्लेटफ़ॉर्म पर यह समूह नीति फ़िल्टर है, दूसरे पर इंटरफ़ेस नीति या ज़ोन जोड़ी, और रूटिंग करने वाले उपकरण पर यह महज़ forward श्रृंखला हो सकती है। हुक नियम लागू करता है, जबकि स्विच पोर्ट केवल वह जगह है जहाँ केबल समाप्त होता है। हुक खोजना पहला निर्णय है, क्योंकि बाकी सब उसके सापेक्ष स्थान है।

हार्डवेयर देखने से पहले फ़्लो लिखें: स्रोत कौन है, कहाँ जा रहा है, कौन-सा प्रोटोकॉल ले जाता है और कौन-सी सेवा अनुमत है। फिर वह नियंत्रण खोजें जो इन चारों तथ्यों में से हर एक को लागू करता है।

दो पथ, दो अलग प्रवर्तन कथाएँ

दो आकार आम हैं, और हर एक अलग आवश्यकता के लिए सही हो सकता है।

endpoint -> shared inside subnet -> server
endpoint -> dedicated transit -> policy firewall -> server subnet

पहला आकार गेटवे पर सब कुछ लागू कर सकता है, बशर्ते नीति उस गंतव्य के लिए लिखी हो और सर्वर के पास उसे दरकिनार करने का मार्ग न हो। दूसरा आकार एक सीमा जोड़ता है, लेकिन केवल तब जब मार्ग और नीति ट्रैफ़िक को वास्तव में उससे गुज़ारें। अंतिम बिंदु के साथ एक ही सेगमेंट पर बैठा सर्वर कभी भी कल्पित मध्यवर्ती हॉप नहीं अपना सकता। आरेख इरादा दिखाता है, और रूटिंग तालिका दिखाती है कि क्या होता है।

चित्र के बजाय मार्ग लुकअप से सत्यापित करें। पैकेट जिस इंटरफ़ेस से निकलता है और जो अगला हॉप चुनता है, वही तय करते हैं कि दूसरा आकार डिज़ाइन के अनुसार व्यवहार करता है या नहीं।

ip route get 10.30.7.20
sudo iptables -S FORWARD
sudo tcpdump -ni inside0 host 10.30.7.20

टोपोलॉजी को अलगाव से अलग रखें

सबनेट साझा करना किसी जगह को अविश्वसनीय नहीं बनाता, और समर्पित ट्रांज़िट उसे संरक्षित नहीं बनाता। जो तय करता है वह वास्तव में लागू प्रतिबंध, वास्तव में होने वाला फ़ॉरवर्डिंग और यह कि हर हिस्सा कौन प्रशासित करता है। स्विच गिनने से इन तीनों में से किसी के बारे में कुछ पता नहीं चलता। नीति और मार्ग से निर्णय लें, और टोपोलॉजी को निर्णय का अनुसरण करने दें।

ट्रैफ़िक आबादियों को भी अलग रखें। दूरस्थ पहुँच पूल, साइट-से-साइट प्रीफ़िक्स और निजी लाइन नेटवर्क एक उपकरण साझा कर सकते हैं और फिर भी अलग नियम चाह सकते हैं, क्योंकि उनकी पहचान और जोखिम अलग हैं। एक आबादी के लिए लिखा नियम पता योजना साझा होने पर बाकियों को चुपचाप ढक लेता है।

हर स्थान के लिए विफलता और प्रबंधन जाँचें

हर स्थान का एक विफलता ढंग है, और उपयोगी प्रश्न यह है कि घटक रुकने पर क्या अब भी काम करता है। एक मृत उपकरण पर कई तार्किक इंटरफ़ेस स्वतंत्र पुनर्प्राप्ति नहीं देते, और समान बिजली या समान प्रशासक साझा करने वाला डाउनस्ट्रीम फ़ायरवॉल दूसरी सीमा नहीं है। पूछें कि प्रबंधन पथ कहाँ से चलता है, क्योंकि केवल टनल से पहुँचने वाला कंसोल कोई पुनर्प्राप्ति पथ नहीं है; ssh [email protected] true टनल के बाहर से चलाना यह सिद्ध करने का सबसे सस्ता तरीका है कि कंसोल उस पर निर्भर नहीं है। एक प्लेटफ़ॉर्म का समूह नीति दस्तावेज़ अपना फ़िल्टर डिक्रिप्शन के बाद और एन्क्रिप्शन से पहले वाले ट्रैफ़िक पर रखता है, जो किसी भी उत्पाद में खोजने योग्य ठीक वही नामित हुक है।

हर उम्मीदवार की विफलता कथा प्रवर्तन कथा के साथ लिखें। जो स्थान निरीक्षण में जीतता है और पुनर्प्राप्ति में हारता है वह सौदा है, और उसे घटना के दौरान खोजे जाने के बजाय वैसे ही दर्ज किया जाना चाहिए।

अनुमत और अस्वीकृत फ़्लो के साथ स्वीकारें

अनुमोदित परीक्षण योजना के साथ, असली VPN स्रोत से तीन चीज़ें जाँचें: वह एप्लिकेशन जो चलना चाहिए, वह संसाधन जो नहीं चलना चाहिए, और वह दिशा जिससे जवाब लौटता है। अस्वीकृति इस बात का प्रमाण है कि नीति सक्रिय है, जबकि अनुमत फ़्लो केवल यह सिद्ध करता है कि कोई पथ मौजूद है।

चुना गया पथ और नीति का परिणाम साथ रखें, क्योंकि पथ के बिना परिणाम दोहराया नहीं जा सकता और परिणाम के बिना पथ का बचाव नहीं किया जा सकता। यह जोड़ी कनेक्शन बिंदु चुनने के लिए किसी भी दावे से कहीं अधिक उपयोगी है कि कौन-सी स्विचिंग परत स्वाभाविक रूप से अधिक सुरक्षित है।