ನಿಮ್ಮ ಸೈಟ್‌ನ VPN ಎಲ್ಲಿ ಕೊನೆಗೊಳ್ಳುತ್ತದೆ ಎಂಬುದು ಏನು ಪರಿಶೀಲಿಸಲ್ಪಡುತ್ತದೆ ಎಂಬುದನ್ನು ನಿರ್ಧರಿಸುತ್ತದೆ
ಸೈಟ್‌ಗಳ ನಡುವಿನ ಸಂಚಾರವನ್ನು ಡೀಕ್ರಿಪ್ಟ್ ಮಾಡುವ ಸಾಧನವು ಫೈರ್‌ವಾಲ್ ಇನ್ನೂ ಏನನ್ನು ಪರಿಶೀಲಿಸಬಹುದೆಂದು ನಿರ್ಧರಿಸುತ್ತದೆ. ಮೊದಲು ಗಡಿಯನ್ನು ಎಳೆಯಿರಿ, ನಂತರ ರೌಟರ್ ಅಥವಾ ಫೈರ್‌ವಾಲ್ ಆಯ್ಕೆಮಾಡಿ.
ಸೈಟ್‌ಗಳ ನಡುವಿನ ಸುರಂಗವು ಇಡೀ ಪರಿಶೀಲನಾ ವಿನ್ಯಾಸವನ್ನು ನಿರ್ಧರಿಸುವ ಒಂದು ವಿವರವನ್ನು ಮರೆಮಾಡುತ್ತದೆ: ಒಳಗಿನ ಪ್ಯಾಕೆಟ್ ಸ್ಪಷ್ಟ ಪಠ್ಯವಾಗಿ ಕಾಣಿಸುವ ನಿಖರ ಸಾಧನ. ಆ ಬಿಂದುವಿನ ಮೊದಲು ಎಲ್ಲವೂ ESP ನೋಡುತ್ತದೆ, ಅದರ ನಂತರ ಎಲ್ಲವೂ ನಿಯಮವೊಂದು ಹಿಡಿಯಬಹುದಾದ ಸಾಮಾನ್ಯ IP ನೋಡುತ್ತದೆ. ಗಡಿಯನ್ನು ತಪ್ಪು ಜಾಗದಲ್ಲಿ ಇಟ್ಟರೆ ನೀವು ಹಣ ಕೊಟ್ಟ ಫೈರ್‌ವಾಲ್ ಪರವಾನಗಿ ಇರುವ ರೌಟರ್ ಆಗುತ್ತದೆ. ಕೆಳಗಿನ ಮಾರ್ಗದರ್ಶನವು ಮೊದಲು ರೇಖೆಯನ್ನು ಎಳೆದು ನಂತರವೇ ಯಾವ ಸಾಧನ ಅದನ್ನು ಹೊಂದಿರಬೇಕೆಂದು ಕೇಳುತ್ತದೆ.
ಪ್ಯಾಕೆಟ್ ಇನ್ನು ಮುಂದೆ ಎನ್‌ಕ್ರಿಪ್ಟ್ ಆಗದ ಸ್ಥಳದಲ್ಲಿ ರೇಖೆಯನ್ನು ಎಳೆಯಿರಿ
ಸುರಂಗ ಮೋಡ್‌ನಲ್ಲಿ ಮೂಲ ಪ್ಯಾಕೆಟ್ ಎನ್‌ಕ್ರಿಪ್ಟ್ ಆಗಿ, ಜೋಡಿ ಗೇಟ್‌ವೇಗೆ ವಿಳಾಸ ಮಾಡಿದ ಹೊಸ ಹೊರಗಿನ IP ಶೀರ್ಷಿಕೆಯಲ್ಲಿ ಸುತ್ತಲ್ಪಡುತ್ತದೆ. ಆ ಹೊರಗಿನ ಪ್ಯಾಕೆಟ್ ESPಗಾಗಿ ಪ್ರೋಟೋಕಾಲ್ 50 ಒಯ್ಯುತ್ತದೆ, ಆದ್ದರಿಂದ ಎರಡು ಗೇಟ್‌ವೇಗಳ ನಡುವಿನ ಯಾವುದೇ ಸಾಧನವೂ ಒಳಗಿನ ವಿಳಾಸಗಳನ್ನು ಓದದೆ ಅದನ್ನು ರೌಟ್ ಮಾಡಬಹುದು. ಡೀಕ್ರಿಪ್ಟ್ ಮಾಡುವ ಮೊದಲ ಸಾಧನವೇ ಭದ್ರತಾ ಗಡಿ, ಮತ್ತು ಒಳಗಿನ ಹರಿವಿಗೆ ನೀತಿ ಅನ್ವಯಿಸಬಲ್ಲ ಮೊದಲ ಸಾಧನವೂ ಅದೇ. ಆ ಬಿಂದುವಿನ ಕೆಳಗೆ ಎಲ್ಲವೂ ಸಾಮಾನ್ಯ ರೌಟಿಂಗ್.
ಚಿತ್ರದಲ್ಲಿ ಮೂರು ವಿಷಯಗಳನ್ನು ಗುರುತಿಸಿ: ESP ಸ್ವೀಕರಿಸುವ ಹೊರಗಿನ ಅಂತ್ಯ ಬಿಂದು, ನೀತಿಯಲ್ಲಿ ಹೆಸರಿಸಲಾದ ಸಂರಕ್ಷಿತ ಜಾಲಗಳು, ಮತ್ತು ಡೀಕ್ರಿಪ್ಟ್ ಆದ ಪ್ಯಾಕೆಟ್ ತೆಗೆದುಕೊಳ್ಳುವ ಮುಂದಿನ ಹೆಜ್ಜೆ. ಈ ಮೂರೂ ಒಂದೇ ಸಾಧನದಲ್ಲಿಲ್ಲದಿದ್ದರೆ ನಿಮಗೆ ವಿನ್ಯಾಸ ಮಾಡಬೇಕಾದ ಹಸ್ತಾಂತರವಿದೆ, ಒಂದೇ ನಿಯಂತ್ರಣ ಬಿಂದು ಅಲ್ಲ.
RFC 4301 ಡೀಕ್ರಿಪ್ಟ್ ಮಾಡುವ ಸಾಧನವನ್ನು ಭದ್ರತಾ ಗೇಟ್‌ವೇ ಎಂದು ಕರೆಯುತ್ತದೆ ಮತ್ತು ಅದರ ನೀತಿಯನ್ನು ಗಡಿಯ ಭಾಗವೆಂದು ಪರಿಗಣಿಸುತ್ತದೆ. ಇದು ಉತ್ಪನ್ನ ವರ್ಗಕ್ಕಿಂತ ಹೆಚ್ಚು ಉಪಯುಕ್ತ ಚೌಕಟ್ಟು, ಏಕೆಂದರೆ ಸಾಧನವು ನೀತಿಯನ್ನು ಹೊಂದಿರುವಾಗ ಗಡಿಯಾಗುತ್ತದೆ, ಅದರ ಡೇಟಾ ಹಾಳೆಯು ಫೈರ್‌ವಾಲ್ ಎಂದು ಹೇಳಿದಾಗ ಅಲ್ಲ.
ಫೈರ್‌ವಾಲ್ ಮುಕ್ತಾಯವಾಗಿ: ಒಂದು ಸಾಧನ, ಒಂದು ನೀತಿ ಬಿಂದು
ಫೈರ್‌ವಾಲ್ ಸುರಂಗವನ್ನು ಮುಗಿಸಿದಾಗ, ಮೇಲಿನ ರೌಟರ್ ಅದಕ್ಕೆ ESP ಮಾತ್ರ ತಲುಪಿಸಬೇಕು. ಫೈರ್‌ವಾಲ್ ಜೋಡಿಯನ್ನು ದೃಢೀಕರಿಸಿ, ಡೀಕ್ರಿಪ್ಟ್ ಮಾಡಿ, ನಂತರ ಸರ್ವರ್ VLAN ಕಡೆಗೆ ಹೋಗುವ ಒಳಗಿನ ಪ್ಯಾಕೆಟ್‌ಗೆ ತನ್ನ ಸಾಮಾನ್ಯ ನಿಯಮಗಳನ್ನು ಅನ್ವಯಿಸುತ್ತದೆ. ಇದು ನೀತಿ ಓದಲು ಒಂದು ಸ್ಥಳ ಮತ್ತು ಲಾಗ್‌ಗಳನ್ನು ಓದಲು ಒಂದು ಸ್ಥಳ ನೀಡುತ್ತದೆ, ಆಡಿಟ್ ಸಾಮಾನ್ಯವಾಗಿ ಕೇಳುವುದು ಅದನ್ನೇ.
ಎರಡು ಅನುಮತಿಗಳನ್ನು ಪ್ರತ್ಯೇಕವಾಗಿ ಪರಿಶೀಲಿಸಿ. ಸಾಧನಕ್ಕೆ IKE ಮತ್ತು ESP ಅನುಮತಿಸುವುದು ದೂರದ ಸೈಟ್ ಸರ್ವರ್ ತಲುಪಲು ಅನುಮತಿಸುವ ಅದೇ ನಿಯಮವಲ್ಲ, ಮತ್ತು ಸುರಂಗವನ್ನು ಸ್ವೀಕರಿಸುತ್ತಾ ಒಳಗಿನ ಹರಿವನ್ನು ತಡೆಯುವ ಫೈರ್‌ವಾಲ್ ಇನ್ನೊಂದು ತುದಿಯಿಂದ ನಿಖರವಾಗಿ ಹಾಳಾದ ಸುರಂಗದಂತೆ ಕಾಣುತ್ತದೆ.
ಬೆಲೆ ಏನೆಂದರೆ ಫೈರ್‌ವಾಲ್ ಈಗ ಸೈಟ್‌ನ ಎಲ್ಲಾ ಸಂಚಾರದ ಮಾರ್ಗದಲ್ಲಿದೆ, ಆದ್ದರಿಂದ ಅದರ ಥ್ರೂಪುಟ್, ಸೆಷನ್ ಮಿತಿಗಳು ಮತ್ತು ವೈಫಲ್ಯದಲ್ಲಿ ಬದಲಾಗುವ ವರ್ತನೆ ಸುರಂಗದ ಸ್ವಂತ ವರ್ತನೆಯಾಗುತ್ತದೆ. ಅದನ್ನು ಸಂಯೋಜಿತ ಸೈಟ್ ಹರಿವುಗಳಿಗೆ ಅಳೆಯಿರಿ, ಬಹುಶಃ ಖರೀದಿಸಿದ ದೂರ ಪ್ರವೇಶ ಪ್ರೊಫೈಲ್‌ಗೆ ಅಲ್ಲ.
ರೌಟರ್ ಮುಕ್ತಾಯವಾಗಿ: ಪರಿಶೀಲನಾ ಹೆಜ್ಜೆ ಐಚ್ಛಿಕವಾಗುತ್ತದೆ
ರೌಟರ್ ಡೀಕ್ರಿಪ್ಟ್ ಮಾಡಿದಾಗ, ಪ್ಯಾಕೆಟ್ ರೌಟಿಂಗ್ ಕೋಷ್ಟಕ ತಲುಪುವಾಗಲೇ ಸ್ಪಷ್ಟವಾಗಿರುತ್ತದೆ. ಬೇರೆ ಫೈರ್‌ವಾಲ್ ಆ ಸಂಚಾರವನ್ನು ಪರಿಶೀಲಿಸಬೇಕಿದ್ದರೆ, ರೌಟರ್ ಅದನ್ನು ಫೈರ್‌ವಾಲ್ ಮೂಲಕ ಕಳುಹಿಸಬೇಕು ಮತ್ತು ಹಿಂತಿರುಗುವ ಮಾರ್ಗ ಅದೇ ರೀತಿ ಬರಬೇಕು. ರೌಟರ್‌ನಿಂದ ಸರ್ವರ್ VLAN ವರೆಗಿನ ನೇರ ಮಾರ್ಗ ಫೈರ್‌ವಾಲ್ ಅನ್ನು ಸದ್ದಿಲ್ಲದೆ ಮಾರ್ಗದಿಂದ ತೆಗೆದುಹಾಕುತ್ತದೆ ಆದರೆ ಚಿತ್ರದಲ್ಲಿ ಉಳಿಸುತ್ತದೆ.
ಇದೇ ಅಸ್ತಿತ್ವದಲ್ಲಿರುವ ಜಾಲದಲ್ಲಿ ಹುಡುಕಬೇಕಾದ ದೋಷ: ಒಂದೇ ಪ್ರಿಫಿಕ್ಸ್‌ಗೆ ಎರಡು ಮಾರ್ಗಗಳು, ಒಂದು ಫೈರ್‌ವಾಲ್ ಮೂಲಕ ಮತ್ತು ಒಂದು ನೇರ, ನೇರವಾದದ್ದು ಪ್ರಿಫಿಕ್ಸ್ ಉದ್ದ ಅಥವಾ ಮೆಟ್ರಿಕ್‌ನಲ್ಲಿ ಗೆಲ್ಲುತ್ತದೆ. ಸುರಂಗ ಇನ್ನೂ ಸಂಚಾರ ದಾಟಿಸುತ್ತದೆ ಮತ್ತು ನೀವು ನಂಬುವ ಪರಿಶೀಲನೆ ನಡೆಯುವುದಿಲ್ಲ.
ಮಾರ್ಗ ಆಧಾರಿತ ಸುರಂಗಗಳು ಇದನ್ನು ಗೋಚರವಾಗಿಸುತ್ತವೆ, ಏಕೆಂದರೆ ಸುರಂಗವು ಇನ್ನೊಂದು ಸಾಧನದ ಮೂಲಕ ರೌಟ್ ಮಾಡಬಹುದಾದ ಇಂಟರ್ಫೇಸ್. ನೀತಿ ಆಧಾರಿತ ಸುರಂಗಗಳು ಸಂಚಾರವನ್ನು ಆಯ್ಕೆದಾರ ಮೂಲಕ ಆಯ್ಕೆ ಮಾಡುತ್ತವೆ, ಇದು ಡೀಕ್ರಿಪ್ಟ್ ಆದ ಪ್ಯಾಕೆಟ್ ಅನ್ನು ರೌಟರ್‌ನಲ್ಲಿ ಬೇರೆ ಗಮ್ಯವಿಲ್ಲದೆ ಬಿಡಬಹುದು.
ಎರಡೂ ಅಭ್ಯರ್ಥಿಗಳಿಗೆ ಅದೇ ಐದು ಪ್ರಶ್ನೆಗಳನ್ನು ಕೇಳಿ
ಸಣ್ಣ ಕಾರ್ಯಪತ್ರವು ವೈಶಿಷ್ಟ್ಯ ಮ್ಯಾಟ್ರಿಕ್ಸ್ ಅನ್ನು ಸೋಲಿಸುತ್ತದೆ, ಏಕೆಂದರೆ ಪ್ರತಿ ಪ್ರಶ್ನೆಯೂ ಚಿತ್ರದ ಒಂದು ರೇಖೆಗೆ ಹೊಂದುತ್ತದೆ. ಪ್ರತಿ ಅಭ್ಯರ್ಥಿಯನ್ನು ಕೇಳಿ:
- ಯಾವ IKE ಆವೃತ್ತಿಗಳು, ಯಾವ ಜೋಡಿ ದೃಢೀಕರಣ ವಿಧಾನಗಳು ಮತ್ತು ಯಾವ ರೌಟಿಂಗ್ ಮಾದರಿಗಳು ಈ ಬಿಡುಗಡೆ ನಿಜವಾಗಿ ಬೆಂಬಲಿಸುತ್ತದೆ?
- ESP ಎಲ್ಲಿ ಸ್ವೀಕರಿಸಲ್ಪಡುತ್ತದೆ ಮತ್ತು ಡೀಕ್ರಿಪ್ಟ್ ಆದ ಹರಿವು ಎಲ್ಲಿ ಅನುಮತಿಸಲ್ಪಡುತ್ತದೆ ಅಥವಾ ನಿರಾಕರಿಸಲ್ಪಡುತ್ತದೆ?
- ಸ್ಥಳೀಯ ಆತಿಥೇಯಗಳು ದೂರದ ಪ್ರಿಫಿಕ್ಸ್‌ಗಳನ್ನು ಹೇಗೆ ಕಲಿಯುತ್ತವೆ ಮತ್ತು ಇನ್ನೊಂದು ಬದಿ ನಿಮ್ಮವನ್ನು ಹೇಗೆ ಕಲಿಯುತ್ತದೆ?
- ನಿಜವಾದ ಹೊರೆಗೆ ಅಂತ್ಯ ಬಿಂದು ಎಷ್ಟು ಥ್ರೂಪುಟ್, ಎಷ್ಟು ಸೆಷನ್‌ಗಳು ಮತ್ತು ವೈಫಲ್ಯದಲ್ಲಿ ಬದಲಾಗುವ ಯಾವ ವರ್ತನೆಯನ್ನು ತಾಳಿಕೊಳ್ಳಬೇಕು?
- ಸುರಂಗವೇ ಕೆಟ್ಟ ವಸ್ತುವಾದಾಗ ಜೋಡಿಯ ರುಜುವಾತುಗಳು, ನೀತಿ ಮತ್ತು ಚೇತರಿಕೆ ಮಾರ್ಗದ ಮಾಲೀಕರು ಯಾರು?
pfSense ನೀತಿ ಆಧಾರಿತ ಮತ್ತು ಮಾರ್ಗ ಆಧಾರಿತ IPsec ಅನ್ನು ಪ್ರತ್ಯೇಕ ಮಿತಿಗಳಿರುವ ಪ್ರತ್ಯೇಕ ಮಾದರಿಗಳಾಗಿ ದಾಖಲಿಸುತ್ತದೆ, ಮತ್ತು ಈ ವ್ಯತ್ಯಾಸ ಪೆಟ್ಟಿಗೆಯ ಲೇಬಲ್‌ಗಿಂತ ಹೆಚ್ಚು ಮುಖ್ಯ. ನೀವು ನಿಜವಾಗಿ ನಿಯೋಜಿಸುವ ಬಿಡುಗಡೆಯಲ್ಲಿ ನಿಖರ ಮೋಡ್ ಮತ್ತು ಡೀಕ್ರಿಪ್ಟ್ ಆದ ಸಂಚಾರದ ಬೆಂಬಲಿತ ಫಿಲ್ಟರಿಂಗ್ ಪರಿಶೀಲಿಸಿ.
ಯಾವುದೇ ಅಭ್ಯರ್ಥಿ ಎರಡನೇ ಪ್ರಶ್ನೆಗೆ ನೀವು ಓದಬಹುದಾದ ನಿಯಮದಿಂದ ಉತ್ತರಿಸಲಾಗದಿದ್ದರೆ, ಉಳಿದೆಲ್ಲವನ್ನೂ ಎಷ್ಟೇ ಚೆನ್ನಾಗಿ ಮಾಡಿದರೂ ಅದು ನೀವು ಬಯಸುವ ಗಡಿ ಅಲ್ಲ. ಹೌದು ಬದಲು ನಿಯಮದ ಪಠ್ಯವನ್ನು ಕೇಳಿ ಮತ್ತು ಅಸ್ಪಷ್ಟ ಉತ್ತರವನ್ನು ಇಲ್ಲ ಎಂದು ಪರಿಗಣಿಸಿ.
ಮಾರ್ಗವನ್ನು ಕ್ಯಾಪ್ಚರ್‌ನಿಂದ ಪರಿಶೀಲಿಸಿ, ಚಿತ್ರದಿಂದ ಅಲ್ಲ
ಚಿತ್ರವು ಉದ್ದೇಶವನ್ನು ವಿವರಿಸುತ್ತದೆ ಮತ್ತು ಕ್ಯಾಪ್ಚರ್ ವರ್ತನೆಯನ್ನು ವಿವರಿಸುತ್ತದೆ, ಆದ್ದರಿಂದ ಯಾವುದಾದರೊಂದನ್ನು ನಂಬುವ ಮೊದಲು ಯಾವ ಇಂಟರ್ಫೇಸ್ ESP ಮತ್ತು ಯಾವುದು ಒಳಗಿನ ಹರಿವನ್ನು ಒಯ್ಯುತ್ತದೆ ಎಂದು ಖಚಿತಪಡಿಸಿ.
tcpdump -ni wan0 esp
tcpdump -ni lan0 host 10.60.4.20
ip xfrm policy listಮೊದಲ ಕ್ಯಾಪ್ಚರ್ ESP ಬರುತ್ತಿರುವುದನ್ನು ತೋರಿಸಿ ಎರಡನೆಯದು ಒಳಗಿನ ಪ್ಯಾಕೆಟ್ ಅನ್ನು LAN ಬದಿಯಲ್ಲಿ ತೋರಿಸಿದರೆ, ಡೀಕ್ರಿಪ್ಷನ್ ಬಿಂದು ನೀವು ಊಹಿಸಿದಲ್ಲೇ ಇದೆ. ಒಳಗಿನ ಪ್ಯಾಕೆಟ್ ಫೈರ್‌ವಾಲ್ ಅನ್ನು ಬೈಪಾಸ್ ಮಾಡುವ ವಿಭಾಗದಲ್ಲಿ ಕಾಣಿಸಿದರೆ, ನೀತಿ ಪಠ್ಯ ಏನೇ ಹೇಳಲಿ ರೌಟಿಂಗ್ ತಪ್ಪು. xfrm ಪಟ್ಟಿ ಆಗ ಯಾವ ಆಯ್ಕೆದಾರರು ಸ್ಥಾಪಿತವಾಗಿವೆ ಮತ್ತು ಯಾವ ದಿಕ್ಕಿನಲ್ಲಿವೆ ಎಂದು ತೋರಿಸುತ್ತದೆ.
ಹಿಂತಿರುಗುವ ಮಾರ್ಗದಲ್ಲಿ ಕ್ಯಾಪ್ಚರ್ ಅನ್ನು ಪುನರಾವರ್ತಿಸಿ, ಏಕೆಂದರೆ ಸೈಟ್‌ಗೆ ಎರಡು ಸಂಭಾವ್ಯ ನಿರ್ಗಮನಗಳಿದ್ದಾಗ ಅಸಮ್ಮಿತ ರೌಟಿಂಗ್ ಸಾಮಾನ್ಯ. ಒಂದು ದಿಕ್ಕಿನಲ್ಲಿ ಕೆಲಸ ಮಾಡಿ ಇನ್ನೊಂದರಲ್ಲಿ ಸಮಯ ಮುಗಿಯುವ ಸುರಂಗ ಬಹುತೇಕ ಯಾವಾಗಲೂ ಇದೇ, ಮತ್ತು ಇನ್ನೊಂದು ಬದಿಯ ಯಾವುದೇ ನೀತಿ ಸಂಪಾದನೆ ಅದನ್ನು ಸರಿಪಡಿಸುವುದಿಲ್ಲ.