IPsec құлағанда, қосалқы маршрут қосалқы саясат болып саналмайды

Бір алаң туннелінен айырылады, ал маршруттау кестесі әлі де интернет арқылы межеге дейінгі толық жарамды жолды көрсетіп тұр. Біреу сол жолға көшуді ұсынып, өзгерісті маршруттау түзетуі деп атайды. Пакет сол жолмен жүре алар еді; ешкім қоймаған сұрақ — оған қорғаныссыз келуге рұқсат па. Бұл түрлі кестелерден шыққан түрлі жауаптар, және оларды шатастыру — ақаудың оқиғаға айналу жолы.

Маршруттау кестесінде бірдей көрінетін екі нәтиже

Қолжетімділік пакеттің барар жері бар екенін айтады. Қауіпсіздік саясаты сол пакетке жолда не болуы керектігін айтады, және екеуі де түрлі механизмдермен орындалады. Саясат тастауға міндетті ағын үшін де маршрут болуы мүмкін, және бұл үйлесім қате конфигурация емес. Екі сұрақты ажырату ақау жоспарын жалпы қарауға жарамды етеді.

Сондықтан ақау жолы тек біреу рұқсат етілген нәтижелердің қайсысы қолданылатынын шешкеннен кейін ғана жоба болады. Ол шешім болмайынша, қосалқы маршрут — жоспар емес, азғыру.

Саясат моделінде екі емес, үш үкім бар

IPsec сәулеті тасталуы тиіс трафикті, қорғанысты айналып өтуге рұқсат етілген трафикті және қорғалуы тиіс трафикті бөледі. Бұл үш түрлі нұсқау, ал ортаңғысы — ақау режимі емес, әдейі берілген жеңілдік. Оларды жұп ретінде оқу туннель мен ашық жол арасындағы жалған таңдауды туғызады.

Жоқ ассоциация қорғау ережесін үнсіз айналып өтуге көтермейді. Саясат әлі де қорға дейді, сондықтан пакет күтеді немесе өледі, және бұл мінез — жазылғандай жұмыс істеп тұрған бақылау, саясаттың бұзылғанының дәлелі емес.

Өз ағыныңыздың талабын үш сөйлемнің бірі ретінде жазыңыз: қорғалған жол пайда болғанша тоқтаңыз, басқа қорғалған жолға өтіңіз, немесе IPsec-сіз жұмыс істеуге жеке рұқсат етілген жолды пайдаланыңыз. Тек үшіншісі қауіпсіздік шартын өзгертеді, және оған қол қоя алатын ие қажет. Ол сөйлем өзгерістер жазбасына түседі, біреудің жадына емес. Шолушылар екінші сөйлемді мақұлдап, үшіншісінен бас тартады, және екі шешім де көрінетін болса, орынды.

Айналып өту — екі шеті қол қоятын шарт

Балама жолға маршрутталатын мекенжайлар, келетін жерде айқын рұқсат және екі бағытта жұмыс істейтін жауап жолы қажет. Жеке алаң мекенжайлары әдепкі маршрут бір жерге сілтегендіктен қолжетімді бола қоймайды.

Аутентификация мекенжайлау сияқты маңызды. Туннельді айналып өтіп, қорғанысты күтетін шекараға келген трафик дұрыс интерфейске түссе де қабылданбайды, сондықтан қабылдаушы саясат бұл пішінді әдейі қабылдауы керек. Алыс жақ ешқашан келіспеген жеңілдік — қосымша қадамдары бар ақау.

Қосалқы жұмыс істеуі үшін селекторды алып тастау немесе картаны босаңсыту — бақыланатын жеңілдік емес. Ол жеңілдік аясын кеңейтеді, алыс жақты басқа нәрсені орындатуда қалдырады және ағынға қай аударма ережесі сәйкес келетінін өзгертуі мүмкін.

Аударма мен рұқсат арифметиканы өзгертеді

Аударма мекенжайлардың басқа көрінісін ұсына алады, бірақ тура және кері бейнелеу балама жолмен үйлесуі керек. Бір бағытты бейнелеу ашылып, содан кейін ілініп қалатын байланыс туғызады. Жарты бейнелеу жоқтан жаман, өйткені ол ілгерілеуге ұқсайды.

Рұқсат — екінші жарты. Қабылдаушы жақта бұл трафик үшін айқын ереже, өз журналы және түнгі сағат үште мақұлданған жеңілдікті қателіктен ажырату тәсілі болуы керек.

Қалпына келтіру жобаға кіреді

Ақаудың қалай анықталатынын, қай саясаттың алмастырғышты таңдайтынын және ол болған кезде жұмыс істеп тұрған сессияларға не болатынын жазыңыз. Жаңа байланыс көшуден кейін сәтті болуы мүмкін, ал ескісі енді қолданылмайтын мекенжайға байланған күйді сақтайды.

Талап үздіксіз қорғаныс болғанда әрдайым басқа қорғалған жолды таңдаңыз. Қорғаныссыз ерекшелік шынымен қажет болса, оны көздермен, межелермен, қызметтермен және ұзақтықпен шектеңіз, және оның қалай қайтарылатынын жазыңыз.

Тек ақауды емес, екі күйді де сынаңыз

Қабылдау істен шыққан туннель жағдайын және қалпына келтірілгенін қамтиды, әрқайсысында қолданба тексерісімен. Қызықты нәтиже — пакеттердің қозғалыста қалғаны емес, олардың ұйым таңдаған шарт бойынша ғана қозғалғаны.

Кері қайтару сынағын да қосыңыз. Ешкім өшіре алмайтын жеңілдік үнсіз тұрақты саясатқа айналды, ал бастапқы ереже дәл осыдан қорғап еді. Оған мерзім мен атаулы шолушы қойыңыз, әйтпесе жеңілдік оны түсінгендердің бәрінен ұзақ өмір сүреді.