VPN клиентінің трафигі және брандмауэр күйі: сыртқы және ішкі ағын
Туннель ағыны мен қапсыздандырылған қосылым әртүрлі пакеттер. Қайсысына рұқсат беретініңізді және әр шекара күйді бақылай ма, соны шешіңіз.
VPN қол алысуы аяқталады, клиент мекенжай алады, бірақ қақпаның артындағы қызмет қосылымды әлі де қабылдамайды. Брандмауэр көбіне өзіне айтылғанды дәл орындайды. Ол туннельдің сыртқы ағынына рұқсат берді, ал бұл қапсыздандырылған қолданба қосылымынан басқа пакет. Осыдан екі шешім шығады: қай ағынға рұқсат бересіз және шекара күйді мүлдем бақылай ма.
Осы екеуін ажыратпайынша, әрбір ереже өзгерісі — болжам.
Брандмауэр екі түрлі пакетті көреді
Қапсыздандыруға дейін брандмауэр VPN шеткі нүктесіне бағытталған трафикті көреді: тыңдаушыға қарай сыртқы UDP ағыны. Қапсыздандырудан кейін жіберілген пакет клиенттің ішкі мекенжайын және қызметтің тағайындалуын тасымалдайды.
Сыртқы ағынға арналған рұқсат жіберілген TCP қосылымына құзырет бермейді. Оларды әртүрлі тізбектерде, әртүрлі интерфейстер алдында және аудармадан кейін әртүрлі мекенжайлармен бағалауға болады.
Екі жақтағы баламалы позициялардан алынған жазбаларды салыстырыңыз. Туннель шетіндегі жазба мен сервердегі жазба бір сессия үшін әртүрлі кортеждерді көрсетеді.
Бірінші шешім: туннельге немесе қызметке рұқсат
Клиентке тек VPN шеткі нүктесінің өзі қажет болса, сыртқы рұқсат жеткілікті болуы мүмкін. Оған қақпаның арғы жағындағы қызмет қажет болса, сол тағайындау мен портқа жіберу рұқсаты керек. Қызметке де рұқсат беретін туннель ережесі — атауға тиіс дизайн шешімі, кездейсоқтық емес.
Клиент ауқымын және қызмет көлемін тар ұстаңыз. Туннель қосалқы желісінен бүкіл жергілікті желіге рұқсат — әр хостқа сену шешімі, бір қолданба үшін қысқа жол емес.
Екі ережені бөлек жазыңыз. Туннель ережесі мен қызмет ережесі әртүрлі жолмен істен шығады және әртүрлі дәлелдермен жөнделеді. Біреуі істен шыққанда, қай қабатты бірінші тексеру керегін білесіз.
Екінші шешім: әр шекарада күймен немесе күйсіз
Орныққан ағын ережесі рұқсат етілген айырбас үшін жауаптарды өткізе алады, бірақ оның мінез-құлқы өнімге байланысты. Бұлттық қауіпсіздік тобы әдетте күйді сақтайды; қосалқы желінің рұқсат тізімі көбіне күйді сақтамайды және екі бағытта да айқын өңдеуді талап етеді. Жолдағы әр шекара күйге бірдей қарайды деп ойламаңыз. Ережелерді жобаламас бұрын әр шекараны тізіп, оны күймен немесе күйсіз деп белгілеңіз.
Ереже өзгерсе, қолданыстағы бақыланатын ағындар жұмысын жалғастыра алады, ал жаңалары істен шығады, немесе керісінше. Бұл айырмашылық пайдалы белгі, белсенді қақпада барлық қосылым күйін тазартуға себеп емес.
Жаңа бақыланатын сұраумен сынаңыз және тиісті есептегіштерді тексеріңіз. Таза тест бұзатын қайта жүктеуден артық. Есептегіштің атын өзгеріс жазбасына жазыңыз, келесі тест сол дәлелді қолдансын.
Қайтару жолын сол саясатпен тексеріңіз
Клиенттен қызметке жаңа сұрау жіберіңіз, содан кейін әр шекарадағы тура және кері есептегіштерді тексеріңіз. Жауап күткен жолды қолданатынын растаңыз, әсіресе аударма қатысса.
Көзделген клиент ауқымын және қызмет көлемін тар ұстаңыз және сұрауға рұқсат берген ережелер жиынымен қайтару жолын тексеріңіз. Ескі ағын әлі ашық болғандықтан ғана жұмыс істейтін ереже — жұмыс істейтін ереже емес.