VPN հաճախորդի երթևեկությունը և ֆայրվոլի վիճակը՝ արտաքին և ներքին հոսք
Թունելի հոսքը և դեկապսուլացված կապը տարբեր փաթեթներ են։ Որոշեք, թե որն եք թույլատրում, և արդյոք յուրաքանչյուր սահման հետևում է վիճակին։
VPN-ի ձեռքսեղմումն ավարտվում է, հաճախորդը ստանում է հասցե, և դարպասի հետևում գտնվող ծառայությունը դեռ մերժում է կապը։ Ֆայրվոլը հաճախ անում է հենց այն, ինչ ասվել է իրեն։ Այն թույլատրել է թունելի արտաքին հոսքը, որը տարբեր փաթեթ է, քան դեկապսուլացված հավելվածի կապը։ Դրանից հետևում են երկու որոշում՝ որ հոսքն եք թույլատրում, և արդյոք սահմանն ընդհանրապես հետևում է վիճակին։
Քանի դեռ չեք բաժանել այդ երկուսը, կանոնի ցանկացած փոփոխություն ենթադրություն է։
Ֆայրվոլը տեսնում է երկու տարբեր փաթեթ
Մինչ դեկապսուլացումը, ֆայրվոլը տեսնում է VPN-ի վերջնակետին ուղղված երթևեկություն՝ արտաքին UDP հոսք դեպի լսորդը։ Դեկապսուլացումից հետո փոխանցված փաթեթը կրում է հաճախորդի ներքին հասցեն և ծառայության նպատակակետը։
Արտաքին հոսքի թույլտվությունը չի լիազորում փոխանցված TCP կապը։ Դրանք կարող են գնահատվել տարբեր շղթաներում, տարբեր ինտերֆեյսների դիմաց և թարգմանությունից հետո տարբեր հասցեներով։
Համեմատեք երկու կողմերի համարժեք դիրքերից արված գրավումները։ Թունելի եզրին արված գրավումը և սերվերում արված գրավումը ցույց են տալիս տարբեր բազմություններ նույն նստաշրջանի համար։
Առաջին որոշումը՝ թույլատրել թունելը կամ ծառայությունը
Եթե հաճախորդին պետք է միայն VPN-ի վերջնակետը, արտաքին թույլտվությունը կարող է բավարար լինել։ Եթե նրան պետք է ծառայություն դարպասից այն կողմ, անհրաժեշտ է փոխանցման թույլտվություն այդ նպատակակետի և պորտի համար։ Թունելի կանոնը, որը թույլատրում է նաև ծառայությունը, նախագծային որոշում է, որը պետք է անվանել, ոչ պատահականություն։
Պահեք հաճախորդի տիրույթը և ծառայության շրջանակը նեղ։ Թունելի ենթացանցից ամբողջ տեղական ցանցին տրված թույլտվությունը յուրաքանչյուր հանգույցի վստահելու որոշում է, ոչ թե մեկ հավելվածի կարճուղի։
Գրեք երկու կանոններն առանձին։ Թունելի կանոնը և ծառայության կանոնը ձախողվում են տարբեր ձևերով և վրիպազերծվում տարբեր ապացույցներով։ Երբ մեկը ձախողվում է, գիտեք, թե որ շերտն առաջինը ստուգել։
Երկրորդ որոշումը՝ վիճակով կամ առանց վիճակի յուրաքանչյուր սահմանին
Հաստատված հոսքի կանոնը կարող է թույլատրել պատասխաններ թույլատրված փոխանակման համար, սակայն նրա վարքը կախված է արտադրանքից։ Ամպային անվտանգության խումբը սովորաբար պահում է վիճակը, ենթացանցի մուտքի ցանկը հաճախ չի պահում և պահանջում է հստակ մշակում երկու ուղղություններով։ Մի ենթադրեք, որ ուղու յուրաքանչյուր սահման վիճակին նույն ձևով է վերաբերվում։ Թվարկեք յուրաքանչյուր սահման և նշեք այն վիճակով կամ առանց վիճակի, նախքան կանոնները նախագծելը։
Եթե կանոնը փոխվում է, գոյություն ունեցող հետևվող հոսքերը կարող են շարունակել աշխատել, մինչ նորերը ձախողվում են, կամ հակառակը։ Այդ տարբերությունը օգտակար հուշում է, ոչ թե ակտիվ դարպասի վրա կապերի ամբողջ վիճակը դատարկելու պատճառ։
Փորձարկեք նոր վերահսկվող հարցումով և ստուգեք համապատասխան հաշվիչները։ Մաքուր փորձարկումն ավելի լավ է, քան խաթարող վերակայումը։ Գրանցեք հաշվիչի անունը փոփոխության գրառման մեջ, որպեսզի հաջորդ փորձարկումը օգտագործի նույն ապացույցը։
Ստուգեք վերադարձի ուղին նույն քաղաքականության ներքո
Ուղարկեք նոր հարցում հաճախորդից ծառայություն, ապա ստուգեք առաջ և վերադարձ հաշվիչները յուրաքանչյուր սահմանին։ Հաստատեք, որ պատասխանն օգտագործում է ձեր սպասած ուղին, հատկապես եթե ներգրավված է թարգմանություն։
Պահեք նախատեսված հաճախորդի տիրույթը և ծառայության շրջանակը նեղ, և ստուգեք վերադարձի ուղին այն նույն կանոնափաթեթի ներքո, որը թույլատրել է հարցումը։ Կանոնը, որն աշխատում է միայն այն պատճառով, որ հին հոսքը դեռ բաց է, աշխատող կանոն չէ։