Eftir afkóðun: hvaða stefna sér VPN-umferðina þína fyrst

Kapallinn segir ekkert um hvaða regla vann úr flæðinu. Nefndu stefnukrókinn og næsta stökk, og sannaðu að svarið fari sömu leið.

VPN-flæði getur verið fullkomlega dulkóðað og fullkomlega auðkennt og samt lent þar sem enginn hafði skipulagt. Kapallinn sem þú stingur í ræður því ekki hvaða regla vinnur úr innri pakkanum; það gera stefnukrókurinn og leiðin. Þess vegna geta tvær hönnur sem líta eins út á rekka-skýringarmynd haft gjörólíka framkvæmd. Valið á milli þeirra hefst á því að nefna stjórnina sem sér afkóðaða flæðið fyrst.

Ákveddu eftir stefnukróknum, ekki portinu

Sérhver VPN-vettvangur metur afkóðaða umferð á einhverjum punkti áður en hann sendir hana áfram, og sá punktur hefur nafn í stillingunum. Á einum vettvangi er það síja hópstefnu, á öðrum stefna viðmóts eða svæðispar, og á tæki sem beinir leiðum getur það einfaldlega verið forward-keðjan. Krókurinn framfylgir reglunni, en port skiptisins er aðeins staðurinn þar sem kapallinn endar. Að finna krókinn er fyrsta ákvörðunin, því allt annað er staðsetning miðað við hann.

Áður en þú horfir á vélbúnað skaltu skrifa niður flæðið: hver er uppsprettan, hvert fer það, hvaða siðareglur bera það og hvaða þjónusta er leyfð. Finndu síðan stjórnina sem framfylgir hverri þessara fjögurra staðreynda.

Tvær leiðir, tvær ólíkar sögur um framkvæmd

Tvö form eru algeng og hvort getur verið rétt fyrir ólíka kröfu.

endpoint -> shared inside subnet -> server
endpoint -> dedicated transit -> policy firewall -> server subnet

Fyrra formið getur framfylgt öllu nauðsynlegu á gáttinni, að því gefnu að gáttarstefnan sé skrifuð fyrir þann áfangastað og þjónninn hafi enga leið fram hjá henni. Síðara formið bætir við mörkum, en aðeins ef leiðirnar og stefnan láta umferðina fara í gegnum þau í raun. Þjónn á sama hluta og endapunkturinn fylgir kannski aldrei hinu ímyndaða millistökki. Skýringarmyndin sýnir ætlun og leiðatöflan sýnir hvað gerist.

Sannprófaðu með leiðaleit frekar en teikningunni. Viðmótið sem pakki fer út um og næsta stökk sem hann velur ráða því hvort síðara formið hagar sér eins og hannað var.

ip route get 10.30.7.20
sudo iptables -S FORWARD
sudo tcpdump -ni inside0 host 10.30.7.20

Aðskildu grannfræði frá einangrun

Sameiginlegt undirnet gerir stað ekki ótraustan og sérstök flutningsleið gerir hann ekki varðan. Það sem ræður er takmörkunin sem raunverulega er beitt, áframsendingin sem raunverulega á sér stað og hver stjórnar hverjum hluta. Að telja skipta segir ekkert um neitt þessara þriggja. Ákveddu út frá stefnunni og leiðinni og láttu grannfræðina fylgja ákvörðuninni.

Meðhöndlaðu umferðarhópa líka sér. Fjartengslasafnar, forskeyti staðar til staðar og net sérlínu geta deilt einu tæki og þurft samt ólíkar reglur, því auðkenni þeirra og áhætta er mismunandi. Regla sem er skrifuð fyrir einn hóp hylur hina hljóðlega þegar þeir deila vistfangaskipulagi.

Athugaðu bilun og stjórnun fyrir hverja staðsetningu

Hver staðsetning hefur bilunarmáta og gagnlega spurningin er hvað virkar enn þegar hluti stöðvast. Nokkrir rökréttir viðmótar á einu dauðu tæki gefa enga sjálfstæða endurheimt og eldveggur neðar sem deilir sama afli eða sama stjórnanda er ekki annað landamæri. Spurðu hvar stjórnunarleiðin liggur, því stjórnborð sem aðeins er aðgengilegt um göngin er alls ekki endurheimtarleið; ssh [email protected] true utan gönganna er ódýrasta leiðin til að sanna að stjórnborðið sé ekki háð þeim. Hópstefnuskjöl eins vettvangs setja síuna sína á umferð eftir afkóðun og fyrir dulkóðun, sem er einmitt slíkur nefndur krókur sem leita skal að í hverri vöru.

Skrifaðu bilunarsögu hvers frambjóðanda við hlið framkvæmdarsögunnar. Staðsetning sem vinnur á skoðun og tapar á endurheimt er skipti og á að skrá sem slíkt í stað þess að uppgötva það í atviki.

Samþykktu með leyfðu og synjaðu flæði

Með samþykktri prófunaráætlun skaltu athuga þrjá hluti frá raunverulegri VPN-uppsprettu: forrit sem á að virka, auðlind sem á ekki að virka og áttina sem svarið kemur til baka um. Synjunin er sönnunin fyrir því að stefnan sé virk, en leyfða flæðið sannar aðeins að leið sé til.

Geymdu valda leið og niðurstöðu stefnunnar saman, því niðurstaða án leiðar er ekki endurgerðanleg og leið án niðurstöðu er ekki verjanleg. Þetta par er mun gagnlegra til að velja tengipunkt en hvers kyns fullyrðing um hvaða skiptilag sé í eðli sínu öruggara.

Tengdir greinar