Сообраќај на VPN клиент и состојба на огнениот ѕид: надворешен и внатрешен тек

Ракувањето со VPN завршува, клиентот добива адреса, а услугата зад портата продолжува да ја одбива врската. Огнениот ѕид честопати го прави токму тоа што му е кажано. Го дозволил надворешниот тек на тунелот, кој е различен пакет од декапсулираната врска на апликацијата. Следуваат две одлуки: кој тек го дозволувате и дали границата воопшто ја следи состојбата.

Додека не ги одделите тие две, секоја промена на правило е претпоставка.

Огнениот ѕид гледа два различни пакети

Пред декапсулацијата, огнениот ѕид гледа сообраќај адресиран до крајната точка на VPN: надворешен UDP тек кон слушателот. По декапсулацијата, проследениот пакет ја носи внатрешната адреса на клиентот и одредиштето на услугата.

Дозволата за надворешниот тек не ја овластува проследената TCP врска. Тие можат да се оценуваат во различни синџири, пред различни интерфејси и со различни адреси по преведувањето.

Споредете снимки од еквивалентни позиции на двете страни. Снимка на работ на тунелот и снимка на серверот покажуваат различни торки за истата сесија.

Прва одлука: дозволи тунел или услуга

Ако на клиентот му треба само крајната точка на VPN, надворешната дозвола може да биде доволна. Ако му треба услуга зад портата, потребна е дозвола за препраќање до тоа одредиште и порта. Правило за тунелот што ја дозволува и услугата е дизајнерска одлука што треба да ја именувате, а не случајност.

Држете го опсегот на клиентот и обемот на услугата тесни. Дозвола од подмрежата на тунелот до целата локална мрежа е одлука да им се верува на сите домаќини, а не кратенка за една апликација.

Запишете ги двете правила одделно. Правилото за тунелот и правилото за услугата паѓаат на различни начини и се отстрануваат со различни докази. Кога едното паѓа, знаете кој слој прво да го проверите.

Втора одлука: со состојба или без неа на секоја граница

Правило за воспоставен тек може да пропушти одговори за дозволена размена, но неговото однесување зависи од производот. Облачна безбедносна група обично следи состојба; списокот за контрола на пристап на подмрежа често не следи состојба и бара експлицитно ракување во двете насоки. Не претпоставувајте дека секоја граница на патот се однесува кон состојбата исто. Наведете ја секоја граница и означете ја со или без следење состојба пред да ги дизајнирате правилата.

Ако правилото се промени, постојните следени текови може да продолжат да работат, додека новите паѓаат, или обратно. Таа разлика е корисна трага, а не причина да ја испразните целата состојба на врските на активна порта.

Тестирајте со ново контролирано барање и проверете ги релевантните бројачи. Чистиот тест е подобар од нарушувачко ресетирање. Запишете го името на бројачот во записот за промената, за следниот тест да ги користи истите докази.

Проверете го повратниот пат под истата политика

Испратете ново барање од клиентот до услугата, потоа проверете ги бројачите за напред и назад на секоја граница. Потврдете дека одговорот го користи патот што го очекувате, особено ако е вклучено преведување.

Држете го предвидениот опсег на клиентот и обемот на услугата тесни и проверете го повратниот пат под истиот сет правила што го дозволи барањето. Правило што работи само затоа што стариот тек е уште отворен не е работно правило.