Ապակոդավորումից հետո՝ ո՞ր քաղաքականությունն է առաջինը տեսնում ձեր VPN երթևեկությունը

VPN հոսքը կարող է լինել կատարելապես գաղտնագրված և կատարելապես նույնականացված և այնուամենայնիվ հայտնվել մի տեղ, որտեղ ոչ ոք չի պլանավորել։ Ձեր միացրած մալուխը չի որոշում, թե որ կանոնն է մշակում ներքին փաթեթը. դա անում են քաղաքականության կարթը և երթուղին։ Այդ պատճառով երկու նախագծեր, որոնք ռակի գծապատկերում նույնն են թվում, կարող են բոլորովին տարբեր կիրարկում ունենալ։ Նրանց միջև ընտրությունը սկսվում է այն վերահսկիչի անվանումով, որն առաջինն է տեսնում ապակոդավորված հոսքը։

Որոշեք քաղաքականության կարթով, ոչ թե պորտով

Յուրաքանչյուր VPN հարթակ գնահատում է ապակոդավորված երթևեկությունը ինչ-որ կետում՝ նախքան այն փոխանցելը, և այդ կետը կարգավորումների մեջ անուն ունի։ Մի հարթակում դա խմբային քաղաքականության զտիչ է, մյուսում՝ ինտերֆեյսի քաղաքականություն կամ զույգ գոտի, իսկ երթուղավորող սարքում այն կարող է լինել պարզապես forward շղթան։ Կարթը կիրառում է կանոնը, մինչդեռ անջատիչի պորտը միայն այն տեղն է, որտեղ ավարտվում է մալուխը։ Կարթը գտնելը առաջին որոշումն է, որովհետև մնացած ամեն ինչ դրա նկատմամբ տեղաբաշխում է։

Նախքան սարքավորումը դիտելը, գրեք հոսքը՝ ով է աղբյուրը, ուր է գնում, որ արձանագրությունն է տանում և որ ծառայությունն է թույլատրված։ Ապա գտեք այն վերահսկիչը, որը կիրառում է այս չորս փաստերից յուրաքանչյուրը։

Երկու ուղի, կիրարկման երկու տարբեր պատմություն

Երկու ձև սովորական են, և յուրաքանչյուրը կարող է ճիշտ լինել տարբեր պահանջի համար։

endpoint -> shared inside subnet -> server
endpoint -> dedicated transit -> policy firewall -> server subnet

Առաջին ձևը կարող է կիրառել ամեն անհրաժեշտը դարպասում, պայմանով, որ դարպասի քաղաքականությունը գրված է այդ նպատակակետի համար և սերվերը չունի շրջանցող ուղի։ Երկրորդ ձևը ավելացնում է սահման, բայց միայն այն դեպքում, երբ երթուղիներն ու քաղաքականությունն իսկապես երթևեկությունն անցկացնում են դրա միջով։ Վերջնակետի հետ նույն սեգմենտում գտնվող սերվերը կարող է երբեք չհետևել մտացածին միջանկյալ թռիչքին։ Գծապատկերը ցույց է տալիս մտադրությունը, իսկ երթուղիների աղյուսակը՝ թե ինչ է կատարվում։

Ստուգեք երթուղու որոնմամբ, ոչ թե նկարով։ Այն ինտերֆեյսը, որով փաթեթը դուրս է գալիս, և ընտրված հաջորդ թռիչքը որոշում են՝ երկրորդ ձևը նախագծվածի պես է աշխատում, թե ոչ։

ip route get 10.30.7.20
sudo iptables -S FORWARD
sudo tcpdump -ni inside0 host 10.30.7.20

Առանձնացրեք տոպոլոգիան մեկուսացումից

Ենթացանցի համօգտագործումը տեղը անվստահելի չի դարձնում, իսկ առանձնացված տրանզիտը՝ պաշտպանված։ Որոշում է փաստացի կիրառվող սահմանափակումը, փաստացի կատարվող փոխանցումը և այն, թե ով է կառավարում յուրաքանչյուր մասը։ Անջատիչների հաշվարկը ոչինչ չի ասում այդ երեքի մասին։ Որոշեք քաղաքականությունից և երթուղուց, ապա թող տոպոլոգիան հետևի որոշմանը։

Առանձնացրեք նաև երթևեկության խմբերը։ Հեռահար մուտքի լողավազանները, կայք-կայք նախածանցները և մասնավոր գծերի ցանցերը կարող են կիսել մեկ սարք և միևնույն ժամանակ տարբեր կանոններ պահանջել, որովհետև նրանց ինքնությունը և ռիսկը տարբեր են։ Մեկ խմբի համար գրված կանոնը լուռ ծածկում է մյուսներին, երբ նրանք կիսում են հասցեների պլանը։

Ստուգեք ձախողումը և կառավարումը յուրաքանչյուր տեղաբաշխման համար

Յուրաքանչյուր տեղաբաշխում ունի ձախողման ձև, և օգտակար հարցն այն է, թե ինչ դեռ աշխատում է, երբ բաղադրիչը կանգ է առնում։ Մեկ մեռած սարքի վրա մի քանի տրամաբանական ինտերֆեյս առանձին վերականգնում չեն տալիս, և ներքևի firewall-ը, որը կիսում է նույն սնուցումը կամ նույն ադմինիստրատորին, երկրորդ սահման չէ։ Հարցրեք՝ որտեղով է անցնում կառավարման ուղին, որովհետև միայն թունելով հասանելի կոնսոլը բոլորովին վերականգնման ուղի չէ; ssh [email protected] true թունելից դուրս գործարկելը ամենաէժան ձևն է ապացուցելու, որ կոնսոլը դրանից կախված չէ։ Մեկ հարթակի խմբային քաղաքականության փաստաթղթերը իրենց զտիչը դնում են ապակոդավորումից հետո և գաղտնագրումից առաջ երթևեկության վրա, ինչը հենց այն անվանված կարթն է, որ պետք է փնտրել ցանկացած արտադրանքում։

Գրեք յուրաքանչյուր թեկնածուի ձախողման պատմությունը կիրարկման պատմության կողքին։ Տեղաբաշխումը, որը հաղթում է ստուգմանը և պարտվում վերականգնմանը, փոխանակում է, և այն պետք է գրանցվի այդպես, այլ ոչ թե հայտնաբերվի միջադեպի ընթացքում։

Ընդունեք թույլատրված և մերժված հոսքով

Հաստատված փորձարկման պլանով ստուգեք երեք բան իրական VPN աղբյուրից՝ ծրագիր, որը պետք է աշխատի, ռեսուրս, որը չպետք է, և ուղղությունը, որով պատասխանը վերադառնում է։ Մերժումը ապացույցն է, որ քաղաքականությունը ներգրավված է, մինչդեռ թույլատրված հոսքը միայն ապացուցում է ուղու գոյությունը։

Պահպանեք ընտրված ուղին և քաղաքականության արդյունքը միասին, որովհետև առանց ուղու արդյունքը հնարավոր չէ վերարտադրել, իսկ առանց արդյունքի ուղին հնարավոր չէ պաշտպանել։ Այդ զույգը շատ ավելի օգտակար է միացման կետ ընտրելու համար, քան ցանկացած պնդում այն մասին, թե որ անջատման շերտն է ի սկզբանե ավելի ապահով։