Сайт аралық VPN: қай бағытқа шын мәнінде ереже қажет?

Сұраныстар да, жауаптар да рұқсатты қажет етеді, бірақ күйі бар брандмауэр әдетте өзі қабылдаған қосылымның қайтуына жол береді. Қай жақта ереже жоқ екенін анықтаңыз.

Екі жақ та құрылған туннель туралы хабарлайды, алыс филиал шлюзден жауап береді, ал қолданба бір жақтағы пайдаланушылар үшін әлі де уақыт шегіне жетеді. Әдеттегі кеңес екі бағытта да брандмауэр ережесін қосуды айтады. Кейде бұл дұрыс, кейде бұрыннан бар ережені қайталайды, ал кейде екінші ереженің өзі күйді бұзады. Қай жағдайдың орын алатыны брандмауэрдің пакетті қайда көретініне байланысты.

Күйі бар қайтарым трафигі санын өзгертеді

Күйі бар брандмауэр сұранысты жазып алады және жауапты екінші ережесіз жібереді, сондықтан бір ғана ереже қажет дизайн қалыпты. Күйсіз кіру тізімінде мұндай жады жоқ, ал жауапқа анық рұқсат берілуі керек. Екеуі де өз платформасында дұрыс, сондықтан кеңестер қайшы келеді.

Алдыңыздағы платформаның қайта жіберу құжаттамасын оқып, өңдеп жатқан саясаттың пакетті көретін жерде күйі бар-жоғын тексеріңіз. Орнатылған трафикке анық тыйым салу немесе жауапты күй кестесінен бұрын бағалайтын ереже тәртібі жұмыс істейтін дизайнды жұмбаққа айналдырады. Ережелер саны іске асыру бөлшегі, ал талап — рұқсат етілген әңгіменің екі бағыты да аяқталуы.

Брандмауэр шифры шешілген пакеттерді қайдан көреді

Саясатқа негізделген туннельде брандмауэр шифрланған пакетті шешуге дейін және шифры шешілген пакетті одан кейін, түрлі интерфейстерде бағалай алады. Дұрыс емес интерфейс үшін жазылған ереже бар, дұрыс және ешқашан сәйкес келмейді. Осылайша жұмыс істеп тұрған орналастырудан көшірілген ережелер жиынтығы бірдей құрылғыда сәтсіздікке ұшырауы мүмкін.

Маршрутқа негізделген IPsec және қазіргі іске асырулардың көбі туннель интерфейсін ұсынады, сондықтан шифры шешілген пакет сонда келеді және қарапайым интерфейс ережелері қолданылады. Ережелер жиынтығын екіншісі үшін жазылған нұсқаулықтан көшіруден бұрын орналастыру қай модельді қолданатынын растаңыз. Туннель интерфейсі — пакеттің мүлдем шифры шешілгенін білгіңіз келгенде қарайтын орын да.

Асимметриялық маршруттау болжамды бұзады

Күйі бар брандмауэр әңгіменің екі жартысын көреді деп болжайды. Егер жауап басқа шлюз арқылы қайтса, ол құрылғы сұраныс үшін күй ұстамайды және оны өз саясатына сәйкес тастайды. Симптом — жіберуші жақтағы ешбір ереже түзей алмайтын бір бағытты сәтсіздік. Жауаптың жолын қадағалаңыз бірдеңені өңдеуге дейін.

Екі жақта кең рұқсат ережесін қоспас бұрын жауаптың маршрутын тексеріңіз. Әр интерфейсте бәріне төзу маршруттау қатесін жасырады және сонымен бірге қатынасты кеңейтеді, бұл қолжетімді ең нашар үйлесім.

Екі бағытты нақты бастапқы мекенжайлармен тексеріңіз

Алыс жақ шын мәнінде көретін мекенжаймен сынақ жасаңыз, өйткені аударма бастапқы ереженің ештеңемен сәйкес келмеуіне әкелуі мүмкін. Түсірілімді екі шлюзде бір уақытта іске қосыңыз.

tcpdump -ni any 'host 10.30.8.15 and tcp port 443'
nft list ruleset | grep -A 8 'chain forward'
ip route get 10.30.8.15
conntrack -L | grep 10.30.8.15

Алыс шлюзде күтпеген бастапқы мекенжаймен пайда болған сұраныс ешқашан сәйкес келмейтін ережені түсіндіреді, ал дұрыс емес интерфейске келген жауап күй сәйкессіздігін түсіндіреді. Содан кейін мақұлданған ауқымның ішіндегі бір межелі орынды және одан тыс бір орынды тексеріңіз, шекара болжанбай, көрсетілуі үшін.

Аудармадан кейінгі бастапқы мекенжайды, шифры шешілген пакет қолданған интерфейсті және сәйкес келген ережені жазып алыңыз. Бұл үш факт бүкіл тергеуді қайталамай-ақ келесі билетке жауап береді.

Қатысты мақалалар