ഡീക്രിപ്ഷന് ശേഷം: നിങ്ങളുടെ VPN ട്രാഫിക്ക് ആദ്യം കാണുന്ന നയം ഏതാണ്

ഒരു VPN പ്രവാഹം പൂർണമായി എൻക്രിപ്റ്റ് ചെയ്യപ്പെട്ടതും പൂർണമായി പ്രാമാണീകരിച്ചതുമായിരിക്കാം, എന്നിട്ടും ആരും ആസൂത്രണം ചെയ്യാത്ത ഒരിടത്ത് എത്തിച്ചേരാം. നിങ്ങൾ ഇടുന്ന കേബിൾ ആന്തരിക പാക്കറ്റ് ഏത് നിയമം പ്രോസസ്സ് ചെയ്യുന്നുവെന്ന് നിർണ്ണയിക്കുന്നില്ല; നയ-കൊളുത്തും പാതയുമാണ് അത് ചെയ്യുന്നത്. അതിനാൽ റാക്ക് ഡയഗ്രാമിൽ ഒരുപോലെ കാണപ്പെടുന്ന രണ്ട് രൂപകൽപ്പനകൾക്ക് തീർത്തും വ്യത്യസ്ത നടപ്പാക്കലുകൾ ഉണ്ടാകാം. അവയ്ക്കിടയിലുള്ള തിരഞ്ഞെടുപ്പ് ഡീക്രിപ്റ്റ് ചെയ്ത പ്രവാഹം ആദ്യം കാണുന്ന നിയന്ത്രണത്തിന് പേരിടുന്നതിൽ നിന്നാണ് തുടങ്ങുന്നത്.

പോർട്ടിനനുസരിച്ചല്ല, നയ-കൊളുത്തിനനുസരിച്ച് തീരുമാനിക്കുക

ഓരോ VPN പ്ലാറ്റ്ഫോമും അയയ്ക്കുന്നതിന് മുമ്പ് ഏതോ ഒരു ഘട്ടത്തിൽ ഡീക്രിപ്റ്റ് ചെയ്ത ട്രാഫിക് വിലയിരുത്തുന്നു, ആ ഘട്ടത്തിന് കോൺഫിഗറേഷനിൽ ഒരു പേരുണ്ട്. ഒരു പ്ലാറ്റ്ഫോമിൽ അത് ഗ്രൂപ്പ് നയ ഫിൽട്ടറാണ്, മറ്റൊന്നിൽ ഇന്റർഫേസ് നയ അല്ലെങ്കിൽ സോൺ ജോടി, റൂട്ട് ചെയ്യുന്ന ഉപകരണത്തിൽ അത് വെറും forward ശൃംഖലയാകാം. നിയമം നടപ്പാക്കുന്നത് കൊളുത്താണ്, സ്വിച്ച് പോർട്ട് കേബിൾ അവസാനിക്കുന്ന ഇടം മാത്രം. കൊളുത്ത് കണ്ടെത്തുന്നതാണ് ആദ്യ തീരുമാനം, കാരണം ബാക്കിയെല്ലാം അതിനെ ആശ്രയിച്ചുള്ള സ്ഥാനനിർണ്ണയമാണ്.

ഹാർഡ്വെയർ നോക്കുന്നതിന് മുമ്പ് പ്രവാഹം എഴുതുക: ഉറവിടം ആരാണ്, എങ്ങോട്ട് പോകുന്നു, ഏത് പ്രോട്ടോക്കോൾ വഹിക്കുന്നു, ഏത് സേവനമാണ് അനുവദിച്ചിരിക്കുന്നത്. പിന്നീട് ആ നാല് വസ്തുതകളും നടപ്പാക്കുന്ന നിയന്ത്രണം കണ്ടെത്തുക.

രണ്ട് പാതകൾ, രണ്ട് വ്യത്യസ്ത നടപ്പാക്കൽ കഥകൾ

രണ്ട് ആകൃതികൾ സാധാരണമാണ്, ഓരോന്നും വ്യത്യസ്ത ആവശ്യത്തിന് ശരിയായിരിക്കാം.

endpoint -> shared inside subnet -> server
endpoint -> dedicated transit -> policy firewall -> server subnet

ആദ്യ ആകൃതിക്ക് ഗേറ്റ്‌വേയിൽ ആവശ്യമായതെല്ലാം നടപ്പാക്കാം, ഗേറ്റ്‌വേ നയം ആ ലക്ഷ്യത്തിനായി എഴുതിയിട്ടുണ്ടെങ്കിൽ, സെർവറിന് ചുറ്റും പോകാനുള്ള വഴിയില്ലെങ്കിൽ. രണ്ടാം ആകൃതി ഒരു അതിർത്തി ചേർക്കുന്നു, പക്ഷേ പാതകളും നയവും ട്രാഫിക്കിനെ യഥാർത്ഥത്തിൽ അതിലൂടെ കടത്തിയാൽ മാത്രം. അന്തിമ ബിന്ദുവിന്റെ അതേ സെഗ്‌മെന്റിൽ ഉള്ള സെർവർ സങ്കൽപ്പിച്ച ഇടവേള ഹോപ്പ് ഒരിക്കലും പിന്തുടരണമെന്നില്ല. ഡയഗ്രം ഉദ്ദേശ്യം കാണിക്കുന്നു, റൂട്ടിംഗ് പട്ടിക എന്ത് സംഭവിക്കുന്നു എന്ന് കാണിക്കുന്നു.

ചിത്രത്തിലൂടെയല്ല, റൂട്ട് തിരയലിലൂടെ പരിശോധിക്കുക. പാക്കറ്റ് പുറത്തുപോകുന്ന ഇന്റർഫേസും അത് തിരഞ്ഞെടുക്കുന്ന അടുത്ത ഹോപ്പും രണ്ടാം ആകൃതി രൂപകൽപ്പന അനുസരിച്ച് പ്രവർത്തിക്കുന്നുവോ എന്ന് നിർണ്ണയിക്കുന്നു.

ip route get 10.30.7.20
sudo iptables -S FORWARD
sudo tcpdump -ni inside0 host 10.30.7.20

ടോപ്പോളജിയെ ഒറ്റപ്പെടുത്തലിൽ നിന്ന് വേർതിരിക്കുക

സബ്‌നെറ്റ് പങ്കിടുന്നത് ഒരിടത്തെ വിശ്വാസയോഗ്യമല്ലാതാക്കുന്നില്ല, സമർപ്പിത ട്രാൻസിറ്റ് അതിനെ സംരക്ഷിതമാക്കുന്നുമില്ല. യഥാർത്ഥത്തിൽ പ്രയോഗിക്കുന്ന നിയന്ത്രണം, യഥാർത്ഥത്തിൽ നടക്കുന്ന കൈമാറ്റം, ഓരോ ഭാഗവും ആര് നിയന്ത്രിക്കുന്നു എന്നത് എന്നിവയാണ് നിർണ്ണയിക്കുന്നത്. സ്വിച്ചുകൾ എണ്ണുന്നത് മൂന്നിലൊന്നിനെക്കുറിച്ചും ഒന്നും പറയുന്നില്ല. നയത്തിൽ നിന്നും പാതയിൽ നിന്നും തീരുമാനിക്കുക, ടോപ്പോളജി തീരുമാനത്തെ പിന്തുടരട്ടെ.

ട്രാഫിക് ജനസംഖ്യകളും വെവ്വേറെ കൈകാര്യം ചെയ്യുക. റിമോട്ട് ആക്‌സസ് പൂളുകൾ, സൈറ്റ്-ടു-സൈറ്റ് പ്രിഫിക്‌സുകൾ, സ്വകാര്യ ലൈൻ നെറ്റ്‌വർക്കുകൾ എന്നിവ ഒരു ഉപകരണം പങ്കിട്ടാലും വ്യത്യസ്ത നിയമങ്ങൾ ആവശ്യപ്പെടാം, കാരണം അവയുടെ ഐഡന്റിറ്റിയും അപകടസാധ്യതയും വ്യത്യസ്തമാണ്. ഒരു ജനസംഖ്യയ്ക്കായി എഴുതിയ നിയമം വിലാസ പ്ലാൻ പങ്കിടുമ്പോൾ മറ്റുള്ളവയെ നിശബ്ദമായി മൂടുന്നു.

ഓരോ സ്ഥാനത്തിനും പരാജയവും മാനേജ്മെന്റും പരിശോധിക്കുക

ഓരോ സ്ഥാനത്തിനും പരാജയ രീതിയുണ്ട്, ഉപയോഗപ്രദമായ ചോദ്യം ഒരു ഘടകം നിൽക്കുമ്പോൾ എന്ത് ഇപ്പോഴും പ്രവർത്തിക്കുന്നു എന്നതാണ്. ഒരു മരിച്ച ഉപകരണത്തിൽ പല ലോജിക്കൽ ഇന്റർഫേസുകൾ സ്വതന്ത്ര വീണ്ടെടുപ്പ് നൽകുന്നില്ല, അതേ വൈദ്യുതിയോ അതേ അഡ്മിനിസ്ട്രേറ്ററോ പങ്കിടുന്ന താഴത്തെ ഫയർവാൾ രണ്ടാം അതിർത്തിയല്ല. മാനേജ്മെന്റ് പാത എവിടെയാണ് പോകുന്നതെന്ന് ചോദിക്കുക, കാരണം ടണൽ വഴി മാത്രം എത്താവുന്ന കൺസോൾ ഒരിക്കലും വീണ്ടെടുപ്പ് പാതയല്ല; ssh [email protected] true ടണലിന് പുറത്തുനിന്ന് പ്രവർത്തിപ്പിക്കുന്നതാണ് കൺസോൾ അതിനെ ആശ്രയിക്കുന്നില്ലെന്ന് തെളിയിക്കാനുള്ള ഏറ്റവും വിലകുറഞ്ഞ വഴി. ഒരു പ്ലാറ്റ്ഫോമിന്റെ ഗ്രൂപ്പ് നയ രേഖകൾ അതിന്റെ ഫിൽട്ടർ ഡീക്രിപ്ഷന് ശേഷവും എൻക്രിപ്ഷന് മുമ്പുമുള്ള ട്രാഫിക്കിൽ വയ്ക്കുന്നു, അത് ഏത് ഉൽപ്പന്നത്തിലും തിരയേണ്ട അതേ തരം പേരിട്ട കൊളുത്താണ്.

ഓരോ സ്ഥാനാർത്ഥിയുടെ പരാജയ കഥ നടപ്പാക്കൽ കഥയ്ക്കൊപ്പം എഴുതുക. പരിശോധനയിൽ ജയിച്ച് വീണ്ടെടുപ്പിൽ തോൽക്കുന്ന സ്ഥാനം ഒരു വിനിമയമാണ്, സംഭവസമയത്ത് കണ്ടെത്തുന്നതിന് പകരം അത് അങ്ങനെ രേഖപ്പെടുത്തണം.

അനുവദിച്ചതും നിരസിച്ചതുമായ പ്രവാഹത്തോടെ സ്വീകരിക്കുക

അംഗീകരിച്ച പരീക്ഷണ പദ്ധതിയുമായി യഥാർത്ഥ VPN ഉറവിടത്തിൽ നിന്ന് മൂന്ന് കാര്യങ്ങൾ പരിശോധിക്കുക: പ്രവർത്തിക്കേണ്ട ആപ്ലിക്കേഷൻ, പ്രവർത്തിക്കരുതാത്ത വിഭവം, മറുപടി മടങ്ങിവരുന്ന ദിശ. നിരസിക്കൽ നയം സജീവമാണെന്നതിന്റെ തെളിവാണ്, അനുവദിച്ച പ്രവാഹം ഒരു പാതയുണ്ടെന്ന് മാത്രം കാണിക്കുന്നു.

തിരഞ്ഞെടുത്ത പാതയും നയത്തിന്റെ ഫലവും ഒരുമിച്ച് സൂക്ഷിക്കുക, കാരണം പാതയില്ലാത്ത ഫലം പുനരുൽപ്പാദിപ്പിക്കാനാവില്ല, ഫലമില്ലാത്ത പാത പ്രതിരോധിക്കാനാവില്ല. ഏത് സ്വിച്ചിംഗ് പാളിയാണ് സ്വാഭാവികമായി സുരക്ഷിതമെന്ന ഏതൊരു അവകാശവാദത്തേക്കാളും ഈ ജോഡി ബന്ധന ബിന്ദു തിരഞ്ഞെടുക്കാൻ ഉപകരിക്കുന്നു.