Teiknið afkóðaða slóðina: hvar VPN-tæki framfylgir stefnu

Skýringarmyndir framleiðenda stöðva venjulega við dulkóðaða hlustandann, því það er hlutinn með opinbert vistfang. Spurningin sem ræður öryggisstöðunni er hvað gerist eftir afkóðun, þegar pakkinn verður venjulegt IP og getur náð öllu sem beiningataflan leyfir. Ef enginn teiknaði þann hluta á enginn hann. Leiðarvísirinn hér fyrir neðan teiknar hann fyrst og ber síðan saman staðsetningar eftir því sem afkóðaða beiðnin fer í raun yfir.

Teiknið pakkann eftir afkóðun, ekki fyrir hana

Ytri slóðin er hlutinn sem framleiðendur skrá: opinbert endapunkt, flutningsstefna sem hleypir tengingunni inn og þjónusta sem lýkur henni. Innri slóðin hefst á þeirri stundu þegar pakkinn missir gönguhausinn, og þaðan stjórna honum beininga- og síunarreglur sem hafa ekkert með göngin að gera. Setjið bæði á sömu síðu, því mynd með aðeins því fyrra gefur í skyn að innganga og heimild sé ein ákvörðun. Það eru þær ekki, og bilið milli þeirra er þar sem flestar staðsetningar fara úrskeiðis.

Skrifið innri hlutann sem númeraða röð með nöfnum tækjategundum í stað örvar. Ör felur hvort beiðnin fer yfir sía, og að fara yfir eða ekki er öll spurningin. Hvert skref hér fyrir neðan nefnir tækið og reglusettið sem þar verkar, svo sía sem vantar birtist sem bil í stað þess að vera gefin í skyn með línu.

1. Fjartengdur biðlari: tæki notandans sem myndar göngin.
2. Brúnarstefna: reglusettið sem hleypir ytri flutningi að opinbera hlustandanum.
3. Lokandi tæki: VPN-endapunktur sem afkapslar og afhendir pakkann venjulegu IP.
4. Innri sía: reglusettið fyrir áframleiðslu eða öryggishópa sem takmarkar umferð frá biðlara til þjónustu.
5. Hýsill forrits: þjónustan sem tekur við afkóðaðri beiðni.

Tvær stefnur, tveir eigendur

Ytri stefnan svarar því hverjir mega koma á göngum og er sett fram í reglunum sem hleypa flutningnum að lokandi þjónustunni. Innri stefnan svarar því hvaða þjónustu auðkenndur notandi má ná og lifir í áframleiðslureglum, öryggishópum eða forritinu sjálfu. Eitt tæki getur hýst báðar, og hönnun með nokkrum tækjum hefur samt báðar. Það er að nefna þær aðskildar sem gerir þér kleift að segja hvor brást þegar notandi nær ekki forriti.

Inngangsstýringar eins og skírteini og fjölþátta auðkenning svara auðkenni og engu öðru. Þær ákvarða ekki staðsetningu og veita ekki heimild fyrir hverja auðlind þegar notandi er kominn inn.

Staðsetningin ræður því hvaða landamæri beiðnin fer yfir

Þrjár staðsetningar eru algengar og hver um sig breytir því hvaða landamæri afkóðaða beiðnin fer yfir. Berið þær saman eftir því hvað lýkur þar, hvað getur séð ljósan texta, hvaða stýring getur enn hafnað beiðninni og hvað bregst ásamt tækinu. Taflan hér fyrir neðan notar þessa fjóra dálka í stað almennrar spurningar, því hvert svar er sérstök hönnunarákvörðun.

Þriðja staðsetningin er sú sem fjarlægir framfylgd hljóðlaust, því hluti á vernduðu sviði gefur tækinu beina slóð sem skýringarmyndin sýnir kannski ekki. Skoðið tengi og slóðir frekar en myndina: ip route get 10.20.5.10 segir til um hvaða tengi pakkinn myndi fara um, og svarið er oft ekki það sem hönnunin gerði ráð fyrir. Hlutverk eldveggjarins að stjórna umferð milli stöðu, eins og lýst er íNIST SP 800-41, er gagnleg prófun hér, því tæki með óheftan hlut að vernduðu netinu stjórnar ekki miklu. Slóðaleit er heiðarlegri skýringarmynd en sú sem er í kynningunni.

Stjórnun á heima á eigin sérstaklega leyfðri slóð. Að leyfa notendum að ná forriti krefst aldrei þess að leyfa þeim að ná stýritengi tækisins, og veita ætti báðar heimildir með mismunandi reglum. Endurskoðið báðar slóðir aðskildar, því sameiginleg regla felur hverja var opnuð.

Þýðing breytir því hvað reglur neðar sjá

Upprunansþýðing er þægileg og eyðileggur upplýsingar. Eftir masquerade lítur hver biðlari út eins og tækið, svo regla neðar sem var skrifuð til að greina notendur getur það ekki lengur. Þetta er ekki bara skráningarvandamál, þetta er stefnuvandamál: regla sem er lykluð á biðlaravistfang verður hljóðlaust regla sem er lykluð á gáttina. Ef stefna fyrir hvern notanda skiptir máli, varðveitið upprunann eða framfylgið stefnunni fyrir þýðingu.

Svarssloðin á skilið sömu skoðun. Skráið hvaða slóð áfangastaðurinn velur fyrir svarpakkann, því ósamhverf endurkoma fer fram hjá ástandsathugun og framleiðir tengingu sem kemst á og stöðvast svo. Báðar áttir verða að fara yfir landamærin sem þið teiknuðuð, annars eru landamærin skraut.

sudo tcpdump -ni inside0 host 10.20.5.10
ip route get 10.20.5.10
sudo iptables -t nat -S POSTROUTING

Samþykkið leyfða og hafnaða aðgerð

Prófið frá raunverulega fjartengda biðlaranum frekar en stjórnunarhýsli, því stjórnunarhýsillinn situr yfirleitt þar sem notandinn verður aldrei. Ein leyfð aðgerð sannar að slóðin virki, og ein hafnað sannar að stefnan geri eitthvað yfirleitt. Keyrið báðar eftir hverja staðsetningarbreytingu og skráið upprunaaðsendinguna og áfangastaðinn sem þið notuðuð. Prófun sem sannar aðeins árangur getur ekki greint rétta reglu frá reglu sem vantar.

Prófið síðan tilvikin sem breyta ástandi: endurtenging, lota sem lifir lyklaskiptum og bilun tækisins sjálfs. Berið saman uppfærslur, afkastagetu og bata sem hluta af sama fyrirkomulagi, því eitt tæki sem heldur nokkrum röklegum stýringum er eitt bilunarsvið með nokkrum merkimiðum. Önnur kassi er heldur ekki óháður þegar sameiginlegt stjórnunarauðkenni eða óheft slóð sigrar landamærin sem hann átti að skapa.

Skráið endapunktinn, afkóðuðu slóðina og stýringuna sem takmarkar hana. Þessar þrjár línur halda merkingu sinni hvað sem útfærslan heitir.