VPN milli staða: hvaða átt þarf í raun reglu?

Beiðnir og svör þurfa bæði leyfi, en stöðufylgjandi eldveggur leyfir venjulega endurkomu tengingar sem hann samþykkti. Finndu út hvor hliðin vantar reglu.

Báðir endar tilkynna uppsetta göng, hinn fjarlægi útibú svarar frá gáttinni, og forritið rennur samt út á tíma fyrir notendur á annarri hliðinni. Venjulega ráðið segir að bæta við eldveggjarreglu í báðar áttir. Stundum er það rétt, stundum tvöfaldar það reglu sem þegar er til, og stundum er það seinni reglan sem brýtur stöðuna. Hvaða tilfelli á við fer eftir því hvar eldveggurinn sér pakkann.

Stöðufylgjandi endurkoma breytir fjöldanum

Stöðufylgjandi eldveggur skráir beiðnina og hleypir svarinu í gegn án seinni reglu, svo hönnun sem þarf aðeins eina reglu er eðlileg. Stöðulaus aðgangslisti hefur enga slíka minni, og leyfa verður svarinu sérstaklega. Bæði eru rétt á sinni eigin vettvangi, og þess vegna stangast ráðin á.

Lestu framsendingarskjöl vettvangsins sem er fyrir framan þig og athugaðu hvort stefnan sem þú ert að breyta sé stöðufylgjandi þar sem hún sér pakkann. Skýr synjun fyrir uppsettri umferð, eða röð reglna sem metur svarið fyrir stöðutöfluna, gerir virka hönnun að ráðgátu. Fjöldi reglna er innleiðingaratriði, en krafan er að báðar áttir leyfðs samtals geti klárast.

Hvar eldveggurinn sér afkóðaða pakka

Í stefnubundnu göngum getur eldveggurinn metið dulkóðaða pakkann fyrir afkóðun og afkóðaða pakkann eftir hana, á mismunandi tengi. Regla skrifuð fyrir rangt tengi er til staðar, rétt og passar aldrei. Þannig getur reglusett afritað frá virku uppsetningu mistekist á sömu vélbúnaði.

Leiðarbyggð IPsec og flestar nýtísku útfærslur bjóða göngutengi, svo afkóðaði pakkinn kemur þangað og venjulegar tengireglur gilda. Staðfestu hvaða líkan uppsetningin notar áður en þú afritar reglusett úr handbók skrifaðri fyrir hitt. Göngutengið er líka staðurinn til að skoða þegar þú þarft að vita hvort pakki var yfirhöfuð afkóðaður.

Ósamhverf leiðsögn brýtur forsenduna

Stöðufylgjandi eldveggur gerir ráð fyrir að sjá báða helminga samtalsins. Ef svarið kemur til baka um aðra gátt hefur það tæki enga stöðu fyrir beiðnina og hendir henni samkvæmt eigin stefnu. Einkennið er einstefnu bilun sem engin regla á sendihlið getur lagað. Rekjaðu slóð svarsins áður en þú breytir nokkru.

Athugaðu leið svarsins áður en þú bætir við breiðri leyfisreglu á báðar hliðar. Að þola allt á öllum tengjum felur leiðarvilluna og víkkar aðganginn á sama tíma, sem er versta samsetningin sem völ er á.

Athugaðu báðar áttir með raunverulegum upprunavistföngum

Prófaðu með vistfanginu sem fjarlæga hliðin sér í raun, því þýðing getur gert upprunareglu ósamrýmanlega við hvað sem er. Keyrðu upptökuna á báðum gáttum samtímis.

tcpdump -ni any 'host 10.30.8.15 and tcp port 443'
nft list ruleset | grep -A 8 'chain forward'
ip route get 10.30.8.15
conntrack -L | grep 10.30.8.15

Beiðni sem birtist á fjarlægu gáttinni með óvæntu upprunavistfangi útskýrir reglu sem passar aldrei, og svar sem berst á rangt tengi útskýrir stöðuójafnvægi. Prófaðu síðan einn áfangastað innan samþykkts sviðs og einn utan þess, svo mörkin séu sýnd en ekki gefin.

Skráðu upprunavistfangið eftir þýðingu, tengið sem afkóðaði pakkinn notaði og regluna sem passaði. Þessi þrjú atriði svara næsta miða án þess að endurtaka alla rannsóknina.

Tengdir greinar