Шифр чечүүдөн кийин: VPN трафигиңизди кайсы саясат биринчи көрөт

VPN агымы толук шифрленген жана толук аутентификацияланган болсо да, эч ким пландабаган жерге түшүшү мүмкүн. Сиз туташтырган кабель ички пакетти кайсы эреже иштететин аныктабайт; аны саясат илгичи жана маршрут аныктайт. Ошондуктан рак диаграммасында бирдей көрүнгөн эки долбоор таптакыр башкача аткарылышы мүмкүн. Алардын ортосунда тандоо шифри ачылган агымды биринчи көргөн көзөмөлдү атоодон башталат.

Порт боюнча эмес, саясат илгичи боюнча чечиңиз

Ар бир VPN платформасы жөнөтүүдөн мурун шифри ачылган трафикти белгилүү бир чекитте баалайт, жана бул чекиттин конфигурацияда аты бар. Бир платформада бул топтук саясат чыпкасы, экинчисинде интерфейс саясаты же аймак жубу, ал эми маршруттоочу түзмөктө жөн гана forward тизмеги болушу мүмкүн. Илгич эрежени аткарат, ал эми коммутатор порту кабель бүткөн жер гана. Илгичти табуу биринчи чечим, анткени калган нерсенин баары ага карата жайгашуу.

Аппаратты караардан мурун агымды жазыңыз: ким булак, кайда барат, кайсы протокол алып барат жана кайсы кызмат уруксат берилген. Андан кийин ушул төрт фактынын ар бирин аткарган көзөмөлдү табыңыз.

Эки жол, аткаруунун эки башка тарыхы

Эки форма кеңири таралган жана ар бири башка талапка туура болушу мүмкүн.

endpoint -> shared inside subnet -> server
endpoint -> dedicated transit -> policy firewall -> server subnet

Биринчи форма дарбазада керектүүнүн баарын аткара алат, эгер дарбаза саясаты ошол максатка жазылган болсо жана серверде аны айланып өтүүчү жол болбосо. Экинчи форма чек кошот, бирок маршруттар жана саясат трафикти чын эле ошол аркылуу өткөрсө гана. Акыркы чекит менен бир сегментте турган сервер ойлоп табылган аралык секирикти эч качан кайталабашы мүмкүн. Диаграмма ниетти көрсөтөт, ал эми маршрут таблицасы эмне болуп жатканын көрсөтөт.

Сүрөт менен эмес, маршрут издөө менен текшериңиз. Пакет чыккан интерфейс жана анын тандаган кийинки секириги экинчи форма долбоор боюнча иштейби же жокпу аныктайт.

ip route get 10.30.7.20
sudo iptables -S FORWARD
sudo tcpdump -ni inside0 host 10.30.7.20

Топологияны обочолонуудан ажыратыңыз

Ички тармакты бөлүшүү жерди ишенүүсүз кылбайт, ал эми атайын транзит аны корголгон кылбайт. Чечүүчү нерсе — иш жүзүндө колдонулган чектөө, иш жүзүндө болгон өткөрүү жана ар бир бөлүктү ким башкарат. Коммутаторлорду саноо ошол үчөөнүн эч бири жөнүндө эч нерсе айтпайт. Саясат менен маршруттан чечим кабыл алыңыз, анан топология чечимди ээрчисин.

Трафик популяцияларын да өзүнчө кармаңыз. Алыскы кирүү пулдары, сайттан сайтка префикстер жана жеке линия тармактары бир түзмөктү бөлүшүп, баары бир башка эрежелерди талап кылышы мүмкүн, анткени алардын инсандыгы жана тобокелдиги башкача. Бир популяция үчүн жазылган эреже дарек планын бөлүшкөндө калгандарын үнсүз жаап калат.

Ар бир жайгашуу үчүн бузулуу жана башкарууну текшериңиз

Ар бир жайгашуунун бузулуу режими бар, жана пайдалуу суроо — компонент токтогондо эмне дагы иштейт. Бир өлүк түзмөктөгү бир нече логикалык интерфейс көз карандысыз калыбына келтирүү бербейт, ал эми бирдей кубат же бирдей администраторду бөлүшкөн төмөнкү firewall экинчи чек эмес. Башкаруу жолу кайдан өтөрүн сураңыз, анткени туннелден гана жеткиликтүү консоль такыр калыбына келтирүү жолу эмес; ssh [email protected] true туннелден тышкары иштетүү консолдун ага көз каранды эместигин далилдөөнүн эң арзан жолу. Бир платформанын топтук саясат документтери чыпкасын шифр чечүүдөн кийинки жана шифрлөөдөн мурунку трафикке коёт, бул ар кандай продуктта издөөгө тийиш так ушундай аталган илгич.

Ар бир талапкердин бузулуу тарыхын аткаруу тарыхынын жанына жазыңыз. Текшерүүдө жеңип, калыбына келтирүүдө утулуп калган жайгашуу — бул алмашуу, аны окуя учурунда табуунун ордуна ошондой жазуу керек.

Уруксат берилген жана тыюу салынган агым менен кабыл алыңыз

Бекитилген сыноо планы менен чыныгы VPN булагынан үч нерсени текшериңиз: иштеши керек колдонмо, иштебеши керек ресурс жана жооп кайткан багыт. Баш тартуу — саясаттын кошулганынын далили, ал эми уруксат берилген агым жолдун бар экенин гана далилдейт.

Тандалган жолду жана саясаттын жыйынтыгын бирге сактаңыз, анткени жолсуз жыйынтыкты кайталап болбойт, ал эми жыйынтыксыз жолду коргоо мүмкүн эмес. Бул жуп туташуу чекитин тандоо үчүн кайсы коммутация катмары табигый түрдө кооптуураак деген ар кандай ырастоодон алда канча пайдалуу.