VPN საიტიდან საიტზე: რომელ მიმართულებას სჭირდება სინამდვილეში წესი?

ორივე მხარე იტყობინება დამყარებულ გვირაბზე, შორეული ფილიალი კარიბჭიდან პასუხობს, და აპლიკაცია მაინც დროის ამოწურვას აღწევს ერთი მხარის მომხმარებლებისთვის. ჩვეულებრივი რჩევა ამბობს, რომ ორივე მიმართულებით ბრენდმაურის წესი უნდა დაემატოს. ზოგჯერ ეს სწორია, ზოგჯერ უკვე არსებულ წესს აორმაგებს, და ზოგჯერ სწორედ მეორე წესი არღვევს მდგომარეობას. რომელი შემთხვევა მოქმედებს, დამოკიდებულია იმაზე, სად ხედავს ბრენდმაური პაკეტს.

მდგომარეობის მქონე დაბრუნების ტრაფიკი ცვლის რაოდენობას

მდგომარეობის მქონე ბრენდმაური აღრიცხავს მოთხოვნას და პასუხს მეორე წესის გარეშე უშვებს, ამიტომ მხოლოდ ერთი წესის საჭირო დიზაინი ნორმალურია. მდგომარეობის გარეშე წვდომის სიას ასეთი მეხსიერება არ აქვს, და პასუხი ცალსახად უნდა იყოს ნებადართული. ორივე სწორია საკუთარ პლატფორმაზე, და ამიტომ რჩევები ერთმანეთს ეწინააღმდეგება.

წაიკითხეთ თქვენს წინ არსებული პლატფორმის გადაგზავნის დოკუმენტაცია და შეამოწმეთ, არის თუ არა თქვენ მიერ რედაქტირებული პოლიტიკა მდგომარეობის მქონე იქ, სადაც პაკეტს ხედავს. დამყარებული ტრაფიკის ცალსახა აკრძალვა, ან წესების ისეთი რიგი, რომელიც პასუხს მდგომარეობის ცხრილამდე აფასებს, მოქმედ დიზაინს გამოცანად აქცევს. წესების რაოდენობა განხორციელების დეტალია, ხოლო მოთხოვნა ის არის, რომ ნებადართული საუბრის ორივე მიმართულება დასრულდეს.

სად ხედავს ბრენდმაური გაშიფრულ პაკეტებს

პოლიტიკაზე დაფუძნებულ გვირაბში ბრენდმაურს შეუძლია დაშიფრული პაკეტი გაშიფვრამდე და გაშიფრული პაკეტი შემდეგ, სხვადასხვა ინტერფეისზე შეაფასოს. არასწორი ინტერფეისისთვის დაწერილი წესი არსებობს, სწორია და არასოდეს ემთხვევა. ასე შეიძლება მოქმედი განლაგებიდან კოპირებული წესების ნაკრები იდენტურ აპარატურაზე ჩავარდეს.

მარშრუტზე დაფუძნებული IPsec და თანამედროვე განხორციელებების უმეტესობა გვირაბის ინტერფეისს გვთავაზობს, ამიტომ გაშიფრული პაკეტი იქ ჩადის და ჩვეულებრივი ინტერფეისის წესები მოქმედებს. დაადასტურეთ, რომელ მოდელს იყენებს განლაგება, სანამ სხვისთვის დაწერილი სახელმძღვანელოდან წესების ნაკრებს დააკოპირებთ. გვირაბის ინტერფეისი ასევე ის ადგილია, სადაც უნდა გაიხედოთ, როცა გაინტერესებთ, საერთოდ გაშიფრული იყო თუ არა პაკეტი.

ასიმეტრიული მარშრუტიზაცია არღვევს ვარაუდს

მდგომარეობის მქონე ბრენდმაური ვარაუდობს, რომ საუბრის ორივე ნახევარს ხედავს. თუ პასუხი სხვა კარიბჭიდან ბრუნდება, ამ მოწყობილობას მოთხოვნისთვის მდგომარეობა არ აქვს და საკუთარი პოლიტიკის მიხედვით ყრის მას. სიმპტომია ცალმხრივი მარცხი, რომელსაც გამომგზავნ მხარეს არცერთი წესი ვერ გამოასწორებს. მიჰყევით პასუხის გზას სანამ რამეს შეასწორებთ.

შეამოწმეთ პასუხის მარშრუტი, სანამ ორივე მხარეს ფართო ნებართვის წესს დაამატებთ. ყველაფრის შემწყნარებლობა ყველა ინტერფეისზე მალავს მარშრუტიზაციის შეცდომას და ამავდროულად აფართოებს წვდომას, რაც ყველაზე ცუდი ხელმისაწვდომი კომბინაციაა.

შეამოწმეთ ორივე მიმართულება რეალური წყაროს მისამართებით

დატესტეთ იმ მისამართით, რომელსაც შორეული მხარე რეალურად ხედავს, რადგან თარგმანმა შეიძლება წყაროს წესი არაფერს დაემთხვეს. გაუშვით აღება ორივე კარიბჭეზე ერთდროულად.

tcpdump -ni any 'host 10.30.8.15 and tcp port 443'
nft list ruleset | grep -A 8 'chain forward'
ip route get 10.30.8.15
conntrack -L | grep 10.30.8.15

მოთხოვნა, რომელიც შორეულ კარიბჭეზე მოულოდნელი წყაროს მისამართით ჩნდება, ხსნის წესს, რომელიც არასოდეს ემთხვევა, ხოლო არასწორ ინტერფეისზე მისული პასუხი ხსნის მდგომარეობის შეუსაბამობას. შემდეგ დატესტეთ ერთი დანიშნულება დამტკიცებულ ფარგლებში და ერთი მის გარეთ, რათა საზღვარი ნაჩვენები იყოს და არა ვარაუდი.

ჩაწერეთ წყაროს მისამართი თარგმანის შემდეგ, ინტერფეისი, რომელიც გაშიფრულმა პაკეტმა გამოიყენა, და წესი, რომელიც დაემთხვა. ეს სამი ფაქტი პასუხობს შემდეგ ბილეთს მთელი გამოძიების გამეორების გარეშე.