Сайттар аралык VPN: кайсы багытка чындыгында эреже керек?

Сурамдар да, жооптор да уруксатты талап кылат, бирок абалы бар брандмауэр адатта өзү кабыл алган туташуунун кайтышын уруксат кылат. Кайсы тарапта эреже жок экенин аныктаңыз.

Эки тарап тең туннель орнотулганын билдирет, алыскы филиал шлюзден жооп берет, ал эми колдонмо бир тараптагы колдонуучулар үчүн дагы эле убакыт чегине жетет. Кадимки кеңеш эки багытта тең брандмауэр эрежесин кошууну айтат. Кээде бул туура, кээде мурунтан бар эрежени кайталайт, ал эми кээде экинчи эреженин өзү абалды бузат. Кайсы учур экени брандмауэр пакетти кайда көргөнүнө жараша болот.

Абалдуу кайтарым трафиги санды өзгөртөт

Абалдуу брандмауэр сурамды жазып, жоопту экинчи эрежесиз өткөрөт, ошондуктан бир гана эреже керек болгон долбоор кадимки. Абалсыз кирүү тизмесинде мындай эс жок, жана жоопко ачык уруксат берилиши керек. Экөө тең өз платформасында туура, ошондуктан кеңештер кайчы келет.

Алдыңыздагы платформанын өткөрүп берүү документтерин окуп, түзөтүп жаткан саясаттын пакетти көргөн жеринде абалдуу экенин текшериңиз. Орнотулган трафикке ачык тыюу салуу же жоопту абал таблицасынан мурун баалаган эреже тартиби иштеген долбоорду табышмактууга айландырат. Эрежелердин саны ишке ашыруу деталы, ал эми талап — уруксат берилген сүйлөшүүнүн эки багыты тең бүтө алышы.

Брандмауэр шифры чечилген пакеттерди кайда көрөт

Саясатка негизделген туннелде брандмауэр шифрленген пакетти чечүүдөн мурун жана шифры чечилген пакетти андан кийин, ар башка интерфейстерде баалай алат. Туура эмес интерфейс үчүн жазылган эреже бар, туура жана эч качан дал келбейт. Ушундайча иштеп жаткан орнотуудан көчүрүлгөн эрежелер жыйнагы бирдей жабдууда ишке ашпай калышы мүмкүн.

Маршрутка негизделген IPsec жана заманбап ишке ашыруулардын көбү туннель интерфейсин сунуштайт, ошондуктан шифры чечилген пакет ошол жерге келет жана кадимки интерфейс эрежелери колдонулат. Эрежелер жыйнагын экинчиси үчүн жазылган колдонмодон көчүрүүдөн мурун орнотуу кайсы моделди колдонорун ырастаңыз. Туннель интерфейси — пакеттин таптакыр шифры чечилгенин билгиңиз келгенде кароого турган жер да.

Асимметриялык маршруттоо божомолду бузат

Абалдуу брандмауэр сүйлөшүүнүн эки жарымын көрөт деп божомолдойт. Эгер жооп башка шлюз аркылуу кайтса, ал түзмөк сурам үчүн абалды кармабайт жана аны өз саясатына ылайык таштайт. Симптом — жиберүүчү тараптагы эч бир эреже оңдой албаган бир багыттуу ишке ашпоо. Жооптун жолун көзөмөлдөңүз бир нерсени түзөтүүдөн мурун.

Эки тарапка тең кенен уруксат эрежесин кошуудан мурун жооптун маршрутун текшериңиз. Ар бир интерфейсте баарына чыдоо маршруттоо катасын жашырат жана ошол эле учурда кирүүнү кеңейтет, бул жеткиликтүү эң начар айкалыш.

Эки багытты чыныгы булак даректери менен текшериңиз

Алыскы тарап чындыгында көргөн дарек менен сынаңыз, анткени которуу булак эрежесин эч нерсеге дал келтирбей калышы мүмкүн. Тартууну эки шлюзде тең бир убакта иштетиңиз.

tcpdump -ni any 'host 10.30.8.15 and tcp port 443'
nft list ruleset | grep -A 8 'chain forward'
ip route get 10.30.8.15
conntrack -L | grep 10.30.8.15

Алыскы шлюзде күтүлбөгөн булак дареги менен пайда болгон сурам эч качан дал келбеген эрежени түшүндүрөт, ал эми туура эмес интерфейске келген жооп абалдын дал келбестигин түшүндүрөт. Андан кийин бекитилген алкактын ичиндеги бир багытты жана андан тышкары бир багытты текшериңиз, чек ара божомолдонбой көрсөтүлүшү үчүн.

Которуудан кийинки булак дарегин, шифры чечилген пакет колдонгон интерфейсти жана дал келген эрежени жазып алыңыз. Бул үч факт бүткүл иликтөөнү кайталабай эле кийинки билетке жооп берет.

Тектеш макалалар