VPN კლიენტის ტრაფიკი და firewall-ის მდგომარეობა: გარე და შიდა ნაკადი
გვირაბის ნაკადი და დეკაფსულირებული კავშირი სხვადასხვა პაკეტია. გადაწყვიტეთ, რომელს უშვებთ და მიჰყვება თუ არა ყოველი საზღვარი მდგომარეობას.
VPN-ის ხელის ჩამორთმევა სრულდება, კლიენტი იღებს მისამართს, და კარიბჭის უკან მდებარე სერვისი მაინც უარყოფს კავშირს. ფაირვოლი ხშირად ზუსტად იმას აკეთებს, რაც უთხრეს. მან დაუშვა გვირაბის გარე ნაკადი, რომელიც სხვა პაკეტია, ვიდრე დეკაფსულირებული აპლიკაციის კავშირი. აქედან ორი გადაწყვეტილება გამომდინარეობს: რომელ ნაკადს უშვებთ და მიჰყვება თუ არა საზღვარი მდგომარეობას საერთოდ.
სანამ ამ ორს გაამიჯნავთ, წესის ყოველი ცვლილება ვარაუდია.
ფაირვოლი ხედავს ორ სხვადასხვა პაკეტს
დეკაფსულაციამდე ფაირვოლი ხედავს VPN-ის საბოლოო წერტილზე მიმართულ ტრაფიკს: გარე UDP ნაკადს მსმენელისკენ. დეკაფსულაციის შემდეგ გადამისამართებული პაკეტი ატარებს კლიენტის შიდა მისამართს და სერვისის დანიშნულებას.
გარე ნაკადის ნებართვა არ ანიჭებს უფლებას გადამისამართებულ TCP კავშირს. ისინი შეიძლება შეფასდეს სხვადასხვა ჯაჭვში, სხვადასხვა ინტერფეისის წინაშე და თარგმნის შემდეგ სხვადასხვა მისამართით.
შეადარეთ ორივე მხარის ეკვივალენტური პოზიციებიდან აღებული ჩანაწერები. გვირაბის კიდეზე აღებული ჩანაწერი და სერვერზე აღებული ჩანაწერი ერთი და იმავე სესიისთვის სხვადასხვა კორტეჟს აჩვენებს.
პირველი გადაწყვეტილება: გვირაბის თუ სერვისის დაშვება
თუ კლიენტს მხოლოდ თავად VPN-ის საბოლოო წერტილი სჭირდება, გარე ნებართვა შეიძლება საკმარისი იყოს. თუ მას კარიბჭის იქით სერვისი სჭირდება, საჭიროა გადაცემის ნებართვა იმ დანიშნულებისა და პორტისთვის. გვირაბის წესი, რომელიც სერვისსაც უშვებს, საპროექტო გადაწყვეტილებაა, რომელიც უნდა დაასახელოთ და არა შემთხვევითობა.
შეინარჩუნეთ კლიენტის დიაპაზონი და სერვისის მოცულობა ვიწროდ. გვირაბის ქვექსელიდან მთელ ლოკალურ ქსელზე მიცემული ნებართვა ყოველი ჰოსტის ნდობის გადაწყვეტილებაა და არა ერთი აპლიკაციის მოკლე გზა.
ჩამოწერეთ ორივე წესი ცალკე. გვირაბის წესი და სერვისის წესი სხვადასხვაგვარად ცდება და სხვადასხვა მტკიცებულებით ირკვევა. როცა ერთი ცდება, იცით, რომელი შრე შეამოწმოთ პირველად.
მეორე გადაწყვეტილება: მდგომარეობით თუ მის გარეშე ყოველ საზღვარზე
დადგენილი ნაკადის წესი შეიძლება დაუშვას პასუხები ნებადართული გაცვლისთვის, მაგრამ მისი ქცევა პროდუქტზეა დამოკიდებული. ღრუბლოვანი უსაფრთხოების ჯგუფი ჩვეულებრივ ინახავს მდგომარეობას; ქვექსელის წვდომის კონტროლის სია ხშირად არ ინახავს და ორივე მიმართულებით მკაფიო დამუშავებას მოითხოვს. ნუ ჩათვლით, რომ გზის ყოველი საზღვარი მდგომარეობას ერთნაირად ეპყრობა. ჩამოთვალეთ ყოველი საზღვარი და მონიშნეთ იგი მდგომარეობის მქონედ ან უმდგომარეობოდ, სანამ წესებს შეიმუშავებთ.
თუ წესი იცვლება, არსებულმა თვალყურისდევნებულმა ნაკადებმა შეიძლება განაგრძონ მუშაობა, სანამ ახლები ცდება, ან პირიქით. ეს განსხვავება სასარგებლო მინიშნებაა და არა მიზეზი, რომ აქტიურ კარიბჭეზე კავშირების მთელი მდგომარეობა გაასუფთაოთ.
გამოსცადეთ ახალი კონტროლირებული მოთხოვნით და შეამოწმეთ შესაბამისი მთვლელები. სუფთა ტესტი ჯობია ხელშემშლელ გადატვირთვას. ჩაწერეთ მთვლელის სახელი ცვლილების ჩანაწერში, რომ შემდეგმა ტესტმა იგივე მტკიცებულება გამოიყენოს.
შეამოწმეთ დაბრუნების გზა იმავე პოლიტიკით
გაგზავნეთ ახალი მოთხოვნა კლიენტიდან სერვისში, შემდეგ შეამოწმეთ წინ და უკან მთვლელები ყოველ საზღვარზე. დაადასტურეთ, რომ პასუხი იყენებს თქვენ მიერ მოსალოდნელ გზას, განსაკუთრებით თუ თარგმანი მონაწილეობს.
შეინარჩუნეთ განზრახული კლიენტის დიაპაზონი და სერვისის მოცულობა ვიწროდ და შეამოწმეთ დაბრუნების გზა იმავე წესების ნაკრებით, რომელმაც მოთხოვნა დაუშვა. წესი, რომელიც მუშაობს მხოლოდ იმიტომ, რომ ძველი ნაკადი ჯერ კიდევ ღიაა, მოქმედი წესი არ არის.