Site-zu-Site-VPN: wéi eng Richtung brauch wierklech eng Regel?

Ufroen an Äntwerten brauchen allebéid eng Erlaabnes, awer eng stateful Firewall léisst meeschtens d'Réckkecher vun enger Verbindung zou, déi se ugeholl huet. Fannt eraus, wéi eng Säit eng Regel feelt.

Déi zwou Säiten mellen en opgebauten Tunnel, de fernen Filial äntwert vum Gateway, an d'Applikatioun leeft fir d'Benotzer op enger Säit nach ëmmer an en Timeout. Den üblechen Rot ass, an déi zwou Richtungen eng Firewallregel derbäizesetzen. Heiansdo ass dat richteg, heiansdo duplizéiert et eng Regel, déi schonn existéiert, an heiansdo ass et déi zweet Regel, déi den Zoustand zerbricht. Wéi ee Fall gëllt, hänkt dovun of, wou d'Firewall de Paket gesäit.

Stateful Réckverkéier ännert d'Zuel

Eng stateful Firewall registréiert d'Ufro an erlaabt d'Äntwert ouni eng zweet Regel, sou datt en Design, deen nëmmen eng Regel brauch, normal ass. Eng stateleess Access-Lëscht huet keng sou Erënnerung, an d'Äntwert muss ausdrécklech erlaabt ginn. Béid si richteg op hirer eegener Plattform, an dofir widersprieche sech d'Rotschléi.

Liest d'Weiderleitungsdokumentatioun fir d'Plattform virun Iech a kontrolléiert, ob d'Politik, déi Dir ännert, stateful ass do, wou se de Paket gesäit. En ausdréckleche Verbuet fir etabléierte Verkéier, oder eng Regeluerdnung, déi d'Äntwert virun der Zoustandstabell bewäert, mécht aus engem funktionéierenden Design en onkloert. D'Zuel vun de Regele ass en Implementatiounsdetail, während d'Ufuerderung ass, datt déi zwou Richtunge vun enger erlaabter Konversatioun kënnen ofgeschloss ginn.

Wou d'Firewall entschlësselt Päck gesäit

An engem policybaséierten Tunnel kann d'Firewall de verschlësselte Paket virun der Entschlësselung an den entschlësselte Paket duerno, op verschiddenen Interface bewäerten. Eng Regel, déi fir de falschen Interface geschriwwe gouf, ass do, korrekt a gëtt ni getraff. Sou kann e Regelset, deen aus enger funktionéierender Deployement kopéiert gouf, op identescher Hardware versoen.

Routebaséiert IPsec an déi meescht modern Implementatiounen bidden en Tunnelinterface, sou datt den entschlësselte Paket do ukommt a gewéinlech Interface-Regelen gëllen. Bestätegt, wéi ee Modell d'Deployement benotzt, ier Dir e Regelset aus engem Guide kopéiert, deen fir dat anert geschriwwe gouf. Den Tunnelinterface ass och d'Plaz, wou een nogeet, wann ee wësse wëll, ob e Paket iwwerhaapt entschlësselt gouf.

Asymmetresch Routing brécht d'Unahme

Eng stateful Firewall hëlt un, datt si déi zwou Hälfte vun der Konversatioun gesäit. Wann d'Äntwert iwwer en aner Gateway zréckkënnt, huet deen Apparat keen Zoustand fir d'Ufro a verwërft se no senger eegener Politik. D'Symptom ass en eenrichtung Feeler, deen eng Regel op der Sendesäit net reparéiere kann. Verfollegt de Wee vun der Äntwert ier Dir eppes ännert.

Kontrolléiert d'Route vun der Äntwert, ier Dir eng breed Erlaabnisregel op béide Säiten derbäisetzt. Alles op all Interface ze toleréieren verstoppt de Routingfeeler a erweidert gläichzäiteg den Zougang, wat déi schlëmmst Kombinatioun ass, déi et gëtt.

Prüft déi zwou Richtunge mat richtege Quelladressen

Testt mat der Adress, déi déi fern Säit tatsächlech gesäit, well d'Iwwersetzung eng Quellregel mat näischt kënne passen. Féiert d'Aufnam op béide Gatewaye gläichzäiteg aus.

tcpdump -ni any 'host 10.30.8.15 and tcp port 443'
nft list ruleset | grep -A 8 'chain forward'
ip route get 10.30.8.15
conntrack -L | grep 10.30.8.15

Eng Ufro, déi um ferne Gateway mat enger onerwaarter Quelladress opdaucht, erkläert eng Regel, déi ni passt, an eng Äntwert, déi um falschen Interface ukommt, erkläert en Zoustandsmëssverhältnis. Testt duerno en Zil bannent dem genehmegten Ëmfang an engem dobaussen, sou datt d'Grenz demonstriéiert gëtt amplaz ugeholl.

Notéiert d'Quelladress no der Iwwersetzung, den Interface, deen den entschlësselte Paket benotzt huet, an d'Regel, déi gepasst huet. Dës dräi Fakten beäntweren den nächsten Ticket, ouni déi ganz Enquête ze widderhuelen.

Ähnlech Artikelen