VPN klienta trafiks un ugunsmūra stāvoklis: ārējā un iekšējā plūsma

VPN rokas sitiens beidzas, klients iegūst adresi, un pakalpojums aiz vārtejas joprojām atsaka savienojumu. Ugunsmūris bieži dara tieši to, kas tam teikts. Tas atļāva ārējo tuneļa plūsmu, kas ir cits pakets nekā atkapsulētais lietotnes savienojums. No tā izriet divi lēmumi: kuru plūsmu jūs pieļaujat un vai robeža vispār izseko stāvokli.

Kamēr neesat tos atdalījis, katra noteikuma maiņa ir minējums.

Ugunsmūris redz divus dažādus paketus

Pirms atkapsulēšanas ugunsmūris redz trafiku, kas adresēts VPN galapunktam: ārēju UDP plūsmu uz klausītāju. Pēc atkapsulēšanas pārsūtītais pakets nes klienta iekšējo adresi un pakalpojuma galamērķi.

Ārējās plūsmas atļauja nepiešķir tiesības pārsūtītajam TCP savienojumam. Tos var novērtēt dažādās ķēdēs, pret dažādām saskarnēm un ar dažādām adresēm pēc tulkošanas.

Salīdziniet uztveršanas no līdzvērtīgām pozīcijām abās pusēs. Uztveršana tuneļa malā un uztveršana serverī rāda dažādas kortežas vienai un tai pašai sesijai.

Pirmais lēmums: atļaut tuneli vai pakalpojumu

Ja klientam nepieciešams tikai pats VPN galapunkts, ārējā atļauja var būt pietiekama. Ja tam vajadzīgs pakalpojums aiz vārtejas, nepieciešama pārsūtīšanas atļauja šim galamērķim un portam. Tuneļa noteikums, kas atļauj arī pakalpojumu, ir projektēšanas lēmums, kas jānosauc, nevis nejaušība.

Turiet klienta diapazonu un pakalpojuma tvērumu šauru. Atļauja no tuneļa apakštīkla uz visu lokālo tīklu ir lēmums uzticēties katram resursdatoram, nevis vienas lietotnes saīsne.

Pierakstiet abus noteikumus atsevišķi. Tuneļa noteikums un pakalpojuma noteikums neizdodas dažādos veidos un tiek atkļūdoti ar dažādiem pierādījumiem. Kad viens neizdodas, jūs zināt, kuru slāni pārbaudīt vispirms.

Otrais lēmums: ar stāvokli vai bez tā katrā robežā

Noteikums par nodibinātu plūsmu var ielaist atbildes atļautai apmaiņai, taču tā uzvedība ir atkarīga no produkta. Mākoņa drošības grupa parasti izseko stāvokli; apakštīkla piekļuves kontroles saraksts bieži neizseko un prasa skaidru apstrādi abos virzienos. Nepieņemiet, ka katra ceļa robeža izturas pret stāvokli vienādi. Uzskaitiet katru robežu un atzīmējiet to ar vai bez stāvokļa izsekošanas, pirms projektējat noteikumus.

Ja noteikums mainās, esošās izsekotās plūsmas var turpināt darboties, kamēr jaunās neizdodas, vai otrādi. Šī atšķirība ir noderīga norāde, nevis iemesls iztukšot visu savienojumu stāvokli aktīvā vārtejā.

Pārbaudiet ar svaigu kontrolētu pieprasījumu un pārbaudiet attiecīgos skaitītājus. Tīrs tests ir labāks par traucējošu atiestatīšanu. Pierakstiet skaitītāja nosaukumu izmaiņu ierakstā, lai nākamais tests izmantotu tos pašus pierādījumus.

Pārbaudiet atgriešanās ceļu pie tās pašas politikas

Nosūtiet jaunu pieprasījumu no klienta uz pakalpojumu, pēc tam pārbaudiet uz priekšu un atpakaļ skaitītājus katrā robežā. Apstipriniet, ka atbilde izmanto gaidīto ceļu, it īpaši, ja iesaistīta tulkošana.

Turiet paredzēto klienta diapazonu un pakalpojuma tvērumu šauru un pārbaudiet atgriešanās ceļu pie tā paša noteikumu kopuma, kas atļāva pieprasījumu. Noteikums, kas darbojas tikai tāpēc, ka vecā plūsma vēl ir atvērta, nav strādājošs noteikums.