VPN kliento srautas ir ugniasienės būsena: išorinis ir vidinis srautas
Tunelio srautas ir dekapsuliuotas ryšys yra skirtingi paketai. Nuspręskite, kurį leidžiate, ir ar kiekviena riba seka būseną.
VPN rankos paspaudimas baigiasi, klientas gauna adresą, o paslauga už šliuzo vis tiek atmeta ryšį. Ugniasienė dažnai daro būtent tai, kas jai buvo liepta. Ji leido išorinį tunelio srautą, kuris yra kitas paketas nei dekapsuliuotas programos ryšys. Iš to kyla du sprendimai: kurį srautą leidžiate ir ar riba apskritai seka būseną.
Kol neatskirsite šių dviejų dalykų, kiekvienas taisyklės pakeitimas yra spėjimas.
Ugniasienė mato du skirtingus paketus
Prieš dekapsuliavimą ugniasienė mato srautą, adresuotą VPN galiniam taškui: išorinį UDP srautą į klausytoją. Po dekapsuliavimo persiunčiamas paketas neša vidinį kliento adresą ir paslaugos paskirties vietą.
Išorinio srauto leidimas neįgalina persiunčiamo TCP ryšio. Jie gali būti vertinami skirtingose grandinėse, skirtingų sąsajų atžvilgiu ir su skirtingais adresais po vertimo.
Palyginkite įrašus iš lygiaverčių pozicijų abiejose pusėse. Įrašas tunelio krašte ir įrašas serveryje rodo skirtingus kortelius tai pačiai sesijai.
Pirmas sprendimas: leisti tunelį ar paslaugą
Jei klientui reikia tik paties VPN galinio taško, išorinio leidimo gali pakakti. Jei jam reikia paslaugos už šliuzo, reikia persiuntimo leidimo tai paskirties vietai ir prievadui. Tunelio taisyklė, kuri leidžia ir paslaugą, yra projektinis sprendimas, kurį reikėtų įvardyti, o ne atsitiktinumas.
Laikykite kliento diapazoną ir paslaugos apimtį siaurus. Leidimas iš tunelio potinklio į visą vietinį tinklą yra sprendimas pasitikėti kiekvienu mazgu, o ne vienos programos trumpinys.
Užrašykite abi taisykles atskirai. Tunelio taisyklė ir paslaugos taisyklė sugenda skirtingai ir derinamos skirtingais įrodymais. Kai viena sugenda, žinote, kurį sluoksnį tikrinti pirmiau.
Antras sprendimas: su būsena ar be jos kiekvienoje riboje
Nustatyto srauto taisyklė gali praleisti atsakymus leidžiamam mainams, bet jos elgsena priklauso nuo produkto. Debesų saugos grupė paprastai seka būseną; potinklio prieigos kontrolės sąrašas dažnai būsenos neseka ir reikalauja aiškaus apdorojimo abiem kryptimis. Nemanau, kad kiekviena kelio riba būseną traktuoja vienodai. Išvardykite kiekvieną ribą ir pažymėkite ją su būsena arba be jos, prieš projektuodami taisykles.
Jei taisyklė pasikeičia, esami sekami srautai gali toliau veikti, o nauji gali sugesti, arba atvirkščiai. Šis skirtumas yra naudinga užuomina, o ne priežastis išvalyti visą ryšio būseną aktyviame šliuze.
Išbandykite nauja kontroliuojama užklausa ir patikrinkite atitinkamus skaitiklius. Švarus bandymas geriau nei trikdantis atstatymas. Užrašykite skaitiklio pavadinimą pakeitimo įraše, kad kitas bandymas naudotų tuos pačius įrodymus.
Patikrinkite grįžimo kelią pagal tą pačią politiką
Nusiųskite naują užklausą iš kliento į paslaugą, tada patikrinkite pirmyn ir atgal skaitiklius kiekvienoje riboje. Patvirtinkite, kad atsakymas naudoja lauktą kelią, ypač jei dalyvauja vertimas.
Laikykite numatytą kliento diapazoną ir paslaugos apimtį siaurus ir patikrinkite grįžimo kelią pagal tą patį taisyklių rinkinį, kuris leido užklausą. Taisyklė, kuri veikia tik todėl, kad senas srautas dar atviras, nėra veikianti taisyklė.