Գաղտնագրված տրանզիտը չի տալիս հասանելիություն փոխադրողին

Երկու հաստատված դարպասներ կրում են ցածր վստահության ցանցի երթևեկությունը սահմանափակ տրանսպորտային ցանցով։ Բեռի գաղտնագրումը այն անընթեռնելի է պահում սովորական տրանզիտ դիտորդների համար, և հենց այդ մասն է, որ մարդիկ սկզբում ձևավորում են, ապա դադարում դրա մասին մտածել։ Այն, ինչ գաղտնագրումը չի անում, այն է, որ չի սահմանում, թե ցածր վստահության կողմը որ ռեսուրսներին կարող է հասնել։ Ձևավորումը պահանջում է երկու սահման՝ մեկը փոխադրվող զրույցի շուրջ, մյուսը՝ հենց փոխադրողին հասանելիության շուրջ։

Կատարեք ստորև բերված քայլերը հերթականությամբ և ցանկացած քայլի ձախողումը դիտարկեք որպես ձևավորման փոփոխություն, ոչ թե կարգավորման ճշգրտում։

Սահմանեք երկու սահմանները նախքան կարգավորումը դիպչելը

Առաջին սահմանը զրույցն է՝ դարպասների որ զույգերը կարող են թունել ստեղծել, և որ ներքին երթևեկությունն է թույլատրվում անցնել դրա միջով։ Երկրորդը փոխադրողն է՝ ցածր վստահության հոսթերը թունելից դուրս որ հասցեներին և ծառայություններին կարող են հասնել։ Թիմերը սովորաբար կառուցում են առաջինը, իսկ երկրորդը ժառանգում են ցանկացած երթուղավորումից, որ արդեն գոյություն ուներ, և այդպես սահմանափակ ձևավորումը հանգիստ դառնում է լայն։ Այդ ժառանգությունն է սովորական արմատական պատճառը, երբ վերանայումը հայտնաբերում է, որ ցածր վստահության հոսթը խոսում է մի բանի հետ, ինչ ոչ ոք չի հաստատել։

Երկուսն էլ գրեք որպես հասցեների, պորտերի և ուղղությունների ցուցակներ։ Եթե ցուցակը հնարավոր չէ գրել, սահմանը դեռ սահմանված չէ։

Քայլ 1. սահմանափակեք արտաքին թունելը

Փոխադրողին ուղղված ինտերֆեյսի վրա թույլատրեք միայն այն, ինչ թունելին անհրաժեշտ է՝ IKE UDP 500 և 4500-ի վրա երկու դարպասի հասցեների միջև, և ESP այնտեղ, որտեղ NAT-ի անցում չի օգտագործվում։ Մերժեք այդ ինտերֆեյս ժամանող մնացած ամեն ինչ, ներառյալ կառավարման արձանագրությունները։ ESP բնութագիրը ընդգրկում է պաշտպանական ծառայությունները. այն ոչինչ չի ասում այն մասին, թե փոխադրողի որ սեփական ծառայություններից կարող են օգտվել դարպասները։ Արտահայտեք դա որպես հստակ թույլտվությունների ցուցակ, որպեսզի նոր հրապարակված փոխադրողի ծառայությունը լռելյայն հասանելի չդառնա։

Սա այն կանոնների հավաքածուն է, որ ձևավորումը դարձնում է տրանզիտ ձևավորում, այլ ոչ թե փիրինգի պայմանավորվածություն։

Ստուգեք այն ցածր վստահության կողմից, ոչ թե դարպասի կոնսոլից։ Այնտեղի հոսթը պետք է չկարողանա հասնել փոխադրողի DNS սերվերին նույնիսկ մինչև թունելի բարձրանալը։

Քայլ 2. որոշեք, թե հեռավոր դարպասն ինչ է հասցնում

Հեռավոր ծայրում վերականգնված երթևեկությունը պետք է գնա ինչ-որ կոնկրետ տեղ։ Սահմանեք, թե որ ներքին ծառայություններն են թույլատրված, որ աղբյուրային միջակայքերից, և արդյոք ակնկալվում է, որ պատասխանները համաչափ կլինեն։ Առանձին վերանայեք կառավարման հասանելիությունը, քանի որ նույն դարպասը հաճախ բացում է վարչական ինտերֆեյս, որը երբեք տրանզիտ պլանի մաս չի եղել։

Գծապատկերը, որ կանգ է առնում հաջող վերծանման վրա, բաց է թողել ամենակարևոր որոշումը։

Քայլ 3. պահպանեք սեփականությունը ըստ շերտի

Տրանզիտ սարքավորումը դեռ ընդունում և փոխանցում է արտաքին փաթեթներ, ուստի այն պահանջում է կարկատումներ և հզորության պլանավորում։ Թունելի ծայրակետերը մշակում են պաշտպանված արձանագրությունը և ներքին երթևեկությունը բացում են իրենց փոխանցման ուղու համար, ուստի նրանց պետք են սեփական կանոններ և սեփական մոնիտորինգ։ Վերջնական հավելվածները մշակում են բեռը, և անթափանց բեռը ապացույց չէ, որ վերծանված ներբեռնումը անվնաս է։

Յուրաքանչյուր շերտի նշանակեք սեփականատեր։ Առանց սեփականատիրոջ շերտերն են, որ շեղվում են։

Քայլ 4. ստուգեք, ապա հանձնեք այն լիազոր մարմնին

Ստուգեք արտաքին ուղին, երբ թունելը բարձրացված է և փոխադրողի կանոնները տեղում են։ Ապա փորձեք յուրաքանչյուր ռեսուրս, որին ցածր վստահության կողմը չպետք է հասնի, և հաստատեք, որ ձախողումը մերժում է, այլ ոչ թե ժամանակի սպառում, որը թաքցնում է երթուղին։ Ստուգեք նաև հասանելիությունը և ռեսուրսների սահմանները, քանի որ գաղտնագրված կապը նույնպես կարող է հագեցվել։

Կարգավորվող կամ գաղտնի միջավայրերի համար ձևավորումը տարեք պատասխանատու անվտանգության մարմին և օգտագործեք նրա հաստատված բաժանման ճարտարապետությունը։ VPN կարգավորումը և հայեցակարգային բացատրությունը հավատարմագրում չեն ստեղծում։ Այդ քայլը թղթաբանություն չէ. այն որոշում է՝ արդյոք ձևավորումը ընդհանրապես կարող է գոյություն ունենալ։