Տեղամասից տեղամաս VPN. ո՞ր ուղղությունն է իրականում կանոն պահանջում։

Երկու ծայրերն էլ հաղորդում են հաստատված թունելի մասին, հեռավոր ճյուղը պատասխանում է դարպասից, և հավելվածը միևնույն է ժամանակավերջի է հասնում մի կողմի օգտատերերի համար։ Սովորական խորհուրդն ասում է ավելացնել հրդեհապատի կանոն երկու ուղղություններով։ Երբեմն դա ճիշտ է, երբեմն կրկնում է արդեն գոյություն ունեցող կանոնը, և երբեմն հենց երկրորդ կանոնն է, որ կոտրում է վիճակը։ Որ դեպքն է գործում, կախված է նրանից, թե որտեղ է հրդեհապատը տեսնում փաթեթը։

Վիճակային վերադարձի երթևեկությունը փոխում է հաշիվը

Վիճակային հրդեհապատը գրանցում է հարցումը և թույլ է տալիս պատասխանը առանց երկրորդ կանոնի, ուստի միայն մեկ կանոն պահանջող ձևավորումը նորմալ է։ Վիճակազուրկ մուտքի ցանկը նման հիշողություն չունի, և պատասխանը պետք է թույլատրվի բացահայտ։ Երկուսն էլ ճիշտ են իրենց հարթակում, և դրա համար են խորհուրդները հակասում։

Կարդացե՛ք ձեր առջև եղած հարթակի փոխանցման փաստաթղթերը և ստուգե՛ք, թե արդյոք ձեր խմբագրած քաղաքականությունը վիճակային է այնտեղ, որտեղ տեսնում է փաթեթը։ Հաստատված երթևեկության բացահայտ արգելումը կամ կանոնների այնպիսի հերթականություն, որը գնահատում է պատասխանը վիճակի աղյուսակից առաջ, աշխատող ձևավորումը դարձնում է հանելուկային։ Կանոնների քանակը ներդրման մանրամասնություն է, մինչդեռ պահանջն այն է, որ թույլատրված զրույցի երկու ուղղություններն էլ կարողանան ավարտվել։

Որտեղ է հրդեհապատը տեսնում վերծանված փաթեթները

Քաղաքականության վրա հիմնված թունելում հրդեհապատը կարող է գնահատել գաղտնագրված փաթեթը մինչև վերծանումը և վերծանված փաթեթը դրանից հետո, տարբեր միջերեսներում։ Սխալ միջերեսի համար գրված կանոնը առկա է, ճիշտ է և երբեք չի համապատասխանում։ Այդպես է, որ աշխատող տեղադրումից պատճենված կանոնների հավաքածուն կարող է ձախողվել նույնական սարքաշարի վրա։

Երթուղու վրա հիմնված IPsec-ը և ժամանակակից ներդրումների մեծ մասը ներկայացնում են թունելի միջերես, ուստի վերծանված փաթեթը հասնում է այնտեղ, և գործում են սովորական միջերեսի կանոնները։ Հաստատե՛ք, թե տեղադրումը որ մոդելն է օգտագործում, նախքան մյուսի համար գրված ուղեցույցից կանոնների հավաքածու պատճենելը։ Թունելի միջերեսը նաև այն տեղն է, որտեղ նայում են, երբ պետք է իմանալ՝ փաթեթն ընդհանրապես վերծանվել է, թե ոչ։

Ասիմետրիկ երթուղավորումը կոտրում է ենթադրությունը

Վիճակային հրդեհապատը ենթադրում է, որ տեսնում է զրույցի երկու կեսերը։ Եթե պատասխանը վերադառնում է այլ դարպասով, այդ սարքը հարցման համար վիճակ չի պահում և գցում է այն իր քաղաքականության համաձայն։ Ախտանիշը միակողմանի ձախողումն է, որը ուղարկող կողմի ոչ մի կանոն չի կարող շտկել։ Հետևե՛ք պատասխանի ուղուն նախքան որևէ բան խմբագրելը։

Ստուգե՛ք պատասխանի երթուղին նախքան երկու կողմերում լայն թույլտվության կանոն ավելացնելը։ Ամեն ինչի հանդուրժումը յուրաքանչյուր միջերեսում թաքցնում է երթուղավորման սխալը և միաժամանակ լայնացնում մուտքը, ինչը հասանելի ամենավատ համակցությունն է։

Ստուգե՛ք երկու ուղղությունները իրական աղբյուրի հասցեներով

Փորձարկե՛ք այն հասցեով, որը հեռավոր կողմն իրականում տեսնում է, քանի որ թարգմանությունը կարող է աղբյուրի կանոնը ոչնչի հետ չհամապատասխանեցնել։ Գործարկե՛ք որսումը երկու դարպասներում միաժամանակ։

tcpdump -ni any 'host 10.30.8.15 and tcp port 443'
nft list ruleset | grep -A 8 'chain forward'
ip route get 10.30.8.15
conntrack -L | grep 10.30.8.15

Հեռավոր դարպասում անսպասելի աղբյուրի հասցեով հայտնված հարցումը բացատրում է կանոն, որը երբեք չի համապատասխանում, իսկ սխալ միջերես հասնող պատասխանը բացատրում է վիճակի անհամապատասխանություն։ Այնուհետև փորձարկե՛ք մեկ նպատակակետ հաստատված շրջանակի ներսում և մեկը դրանից դուրս, որպեսզի սահմանը ցուցադրվի, այլ ոչ թե ենթադրվի։

Գրանցե՛ք աղբյուրի հասցեն թարգմանությունից հետո, միջերեսը, որն օգտագործել է վերծանված փաթեթը, և համապատասխանած կանոնը։ Այս երեք փաստերը պատասխանում են հաջորդ տոմսին՝ չկրկնելով ամբողջ հետաքննությունը։