ഡീക്രിപ്റ്റ് ചെയ്ത പാത വരയ്ക്കുക: VPN ഉപകരണം നയം എവിടെ പ്രയോഗിക്കുന്നു
എൻക്രിപ്റ്റ് ചെയ്ത ലിസണറിൽ നിർത്തുന്ന ഡയഗ്രം പ്രധാനമായ നയം കാണിക്കുന്നില്ല. ഡീക്രിപ്റ്റ് ചെയ്ത പാത വരയ്ക്കുക, തുടർന്ന് അഭ്യർത്ഥന എന്താണ് കടക്കുന്നത് എന്നതിന്റെ അടിസ്ഥാനത്തിൽ സ്ഥാനങ്ങൾ താരതമ്യം ചെയ്യുക.
വിൽപ്പനക്കാരുടെ ഡയഗ്രങ്ങൾ സാധാരണയായി എൻക്രിപ്റ്റ് ചെയ്ത ലിസണറിൽ അവസാനിക്കുന്നു, കാരണം പൊതു വിലാസമുള്ള ഭാഗം അതാണ്. സുരക്ഷാ നില നിർണ്ണയിക്കുന്ന ചോദ്യം ഡീക്രിപ്ഷനു ശേഷം എന്ത് സംഭവിക്കുന്നു എന്നതാണ്, പാക്കറ്റ് സാധാരണ IP ആയി മാറി റൂട്ടിംഗ് പട്ടിക അനുവദിക്കുന്ന എല്ലാത്തിലും എത്താം. ആ ഭാഗം ആരും വരച്ചിട്ടില്ലെങ്കിൽ അതിന് ഉടമയുമില്ല. താഴെയുള്ള റൺബുക്ക് ആദ്യം അത് വരയ്ക്കുന്നു, തുടർന്ന് ഡീക്രിപ്റ്റ് ചെയ്ത അഭ്യർത്ഥന യഥാർത്ഥത്തിൽ എന്താണ് കടക്കുന്നത് എന്നതിന്റെ അടിസ്ഥാനത്തിൽ സ്ഥാനങ്ങൾ താരതമ്യം ചെയ്യുന്നു.
പാക്കറ്റ് ഡീക്രിപ്ഷനു ശേഷം വരയ്ക്കുക, മുമ്പല്ല
പുറം പാത വിൽപ്പനക്കാർ രേഖപ്പെടുത്തുന്ന ഭാഗമാണ്: ഒരു പൊതു എൻഡ്പോയിന്റ്, കണക്ഷൻ സ്വീകരിക്കുന്ന ഒരു ഗതാഗത നയം, അത് അവസാനിപ്പിക്കുന്ന ഒരു സേവനം. ആന്തരിക പാത പാക്കറ്റ് അതിന്റെ ടണൽ ഹെഡർ നഷ്ടപ്പെടുന്ന നിമിഷത്തിൽ ആരംഭിക്കുന്നു, അവിടെ നിന്ന് ടണലുമായി യാതൊരു ബന്ധവുമില്ലാത്ത റൂട്ടിംഗ്, ഫിൽട്ടർ നിയമങ്ങൾ അതിനെ നിയന്ത്രിക്കുന്നു. രണ്ടും ഒരേ പേജിൽ വയ്ക്കുക, കാരണം ആദ്യത്തേത് മാത്രമുള്ള ഡയഗ്രം പ്രവേശനവും അധികാരവും ഒരേ തീരുമാനമാണെന്ന് സൂചിപ്പിക്കുന്നു. അങ്ങനെയല്ല, അവയ്ക്കിടയിലുള്ള വിടവാണ് മിക്ക സ്ഥാനങ്ങളും തെറ്റുന്ന ഇടം.
ആന്തരിക ഭാഗം അമ്പടയാളമായല്ല, പേരിട്ട ഉപകരണ തരങ്ങളോടുകൂടിയ അക്കമിട്ട ക്രമമായി എഴുതുക. അമ്പടയാളം അഭ്യർത്ഥന ഒരു ഫിൽട്ടർ കടക്കുന്നുണ്ടോ എന്ന് മറയ്ക്കുന്നു, കടക്കുന്നതോ ഇല്ലാത്തതോ ആണ് മുഴുവൻ ചോദ്യം. താഴെയുള്ള ഓരോ ചുവടും ഉപകരണവും അവിടെ പ്രവർത്തിക്കുന്ന നിയമക്കൂട്ടവും പേരിടുന്നു, അതിനാൽ കാണാത്ത ഫിൽട്ടർ ഒരു വരി സൂചിപ്പിക്കുന്നതല്ല, വിടവായി കാണുന്നു.
- വിദൂര ക്ലയന്റ്: ടണൽ സൃഷ്ടിക്കുന്ന ഉപയോക്തൃ ഉപകരണം.
- എഡ്ജ് നയം: പുറം ഗതാഗതം പൊതു ലിസണറിലേക്ക് സ്വീകരിക്കുന്ന നിയമക്കൂട്ടം.
- അവസാനിപ്പിക്കുന്ന ഉപകരണം: പാക്കറ്റ് ഡീകാപ്സുലേറ്റ് ചെയ്ത് സാധാരണ IP-യ്ക്ക് നൽകുന്ന VPN എൻഡ്പോയിന്റ്.
- ആന്തരിക ഫിൽട്ടർ: ക്ലയന്റിൽ നിന്ന് സേവനത്തിലേക്കുള്ള ട്രാഫിക് പരിമിതപ്പെടുത്തുന്ന ഫോർവേഡിംഗ് അല്ലെങ്കിൽ സെക്യൂരിറ്റി ഗ്രൂപ്പ് നിയമക്കൂട്ടം.
- ആപ്ലിക്കേഷൻ ഹോസ്റ്റ്: ഡീക്രിപ്റ്റ് ചെയ്ത അഭ്യർത്ഥന സ്വീകരിക്കുന്ന സേവനം.
രണ്ട് നയങ്ങൾ, രണ്ട് ഉടമകൾ
പുറം നയം ആർക്ക് ടണൽ സ്ഥാപിക്കാമെന്ന് ഉത്തരം നൽകുന്നു, അത് അവസാനിപ്പിക്കുന്ന സേവനത്തിലേക്കുള്ള ഗതാഗതം സ്വീകരിക്കുന്ന നിയമങ്ങളിൽ പ്രകടമാകുന്നു. ആന്തരിക നയം പ്രാമാണീകരിച്ച ഉപയോക്താവിന് ഏത് സേവനത്തിൽ എത്താമെന്ന് ഉത്തരം നൽകുന്നു, അത് ഫോർവേഡിംഗ് നിയമങ്ങളിൽ, സെക്യൂരിറ്റി ഗ്രൂപ്പുകളിൽ അല്ലെങ്കിൽ ആപ്ലിക്കേഷനിൽ തന്നെ ജീവിക്കുന്നു. ഒരു ഉപകരണത്തിന് രണ്ടും ഹോസ്റ്റ് ചെയ്യാം, ഒന്നിലധികം ഉപകരണങ്ങളുള്ള രൂപകൽപ്പനയിലും രണ്ടും ഉണ്ട്. അവയെ വെവ്വേറെ പേരിടുന്നതാണ് ഉപയോക്താവ് ഒരു ആപ്ലിക്കേഷനിൽ എത്താത്തപ്പോൾ ഏതാണ് പരാജയപ്പെട്ടതെന്ന് പറയാൻ അനുവദിക്കുന്നത്.
സർട്ടിഫിക്കറ്റുകളും മൾട്ടി-ഫാക്ടർ പ്രാമാണീകരണവും പോലുള്ള പ്രവേശന നിയന്ത്രണങ്ങൾ ഐഡന്റിറ്റിക്ക് മാത്രം ഉത്തരം നൽകുന്നു, മറ്റൊന്നിനുമല്ല. അവ സ്ഥാനം നിർണ്ണയിക്കുന്നില്ല, ഉപയോക്താവ് അകത്ത് കയറിയ ശേഷം വിഭവം തോറുമുള്ള അനുമതി നൽകുന്നുമില്ല.
സ്ഥാനം അഭ്യർത്ഥന ഏത് അതിർത്തി കടക്കുന്നു എന്ന് നിർണ്ണയിക്കുന്നു
മൂന്ന് സ്ഥാനങ്ങൾ സാധാരണമാണ്, ഓരോന്നും ഡീക്രിപ്റ്റ് ചെയ്ത അഭ്യർത്ഥന ഏത് അതിർത്തി കടക്കുന്നു എന്ന് മാറ്റുന്നു. അവിടെ എന്ത് അവസാനിക്കുന്നു, എന്തിന് വ്യക്തമായ എഴുത്ത് കാണാം, ഏത് നിയന്ത്രണത്തിന് ഇപ്പോഴും അഭ്യർത്ഥന നിരസിക്കാം, ഉപകരണത്തോടൊപ്പം എന്ത് പരാജയപ്പെടുന്നു എന്നിവയുടെ അടിസ്ഥാനത്തിൽ താരതമ്യം ചെയ്യുക. താഴെയുള്ള പട്ടിക സാധാരണ ചോദ്യത്തിനു പകരം ആ നാല് നിരകൾ ഉപയോഗിക്കുന്നു, കാരണം ഓരോ ഉത്തരവും വെവ്വേറെ രൂപകൽപ്പന തീരുമാനമാണ്.
| Placement | What terminates there | What sees plaintext | Which control can still deny | Failure domain |
|---|---|---|---|---|
| Termination in a dedicated segment | A dedicated VPN endpoint | The endpoint and anything on its segment | The filter between that segment and the application | The segment path can bypass the filter if no rule sits on it |
| Termination on the edge firewall | The firewall's public listener | The firewall, after decapsulation | The firewall's inner rule set | Admission and inspection fail together |
| Termination on the protected LAN | The appliance's LAN leg | Every host on the protected LAN | Only a host control or a downstream gateway | The appliance and the protected hosts fail together |
മൂന്നാമത്തെ സ്ഥാനമാണ് നിർവ്വഹണം നിശബ്ദമായി നീക്കം ചെയ്യുന്നത്, കാരണം സംരക്ഷിത സെഗ്മെന്റിലുള്ള ഒരു ഭാഗം ഡയഗ്രം കാണിക്കാനിടയില്ലാത്ത നേരിട്ടുള്ള പാത ഉപകരണത്തിന് നൽകുന്നു. ചിത്രമല്ല, ഇന്റർഫേസുകളും റൂട്ടുകളും പരിശോധിക്കുക: ip route get 10.20.5.10 പാക്കറ്റ് ഏത് ഇന്റർഫേസിലൂടെ പുറത്തുപോകുമെന്ന് റിപ്പോർട്ട് ചെയ്യുന്നു, ഉത്തരം പലപ്പോഴും രൂപകൽപ്പന കരുതിയതല്ല. പോസ്ചറുകൾക്കിടയിലുള്ള ട്രാഫിക് നിയന്ത്രിക്കുന്ന ഫയർവാളിന്റെ പരമ്പരാഗത പങ്ക്, താഴെ പറയുന്ന രേഖയിൽ വിവരിച്ചതുപോലെ,NIST SP 800-41 ഇവിടെ ഉപയോഗപ്രദമായ പരീക്ഷണമാണ്, കാരണം സംരക്ഷിത നെറ്റ്വർക്കിലേക്ക് പരിധിയില്ലാത്ത ഭാഗമുള്ള ഉപകരണം കൂടുതലൊന്നും നിയന്ത്രിക്കുന്നില്ല. റൂട്ട് അന്വേഷണം അവതരണത്തിലെ ഡയഗ്രത്തേക്കാൾ സത്യസന്ധമായ ഡയഗ്രമാണ്.
അഡ്മിനിസ്ട്രേഷൻ അതിന്റേതായ വ്യക്തമായി അനുവദിച്ച പാതയിലാണ്. ഉപയോക്താക്കളെ ഒരു ആപ്ലിക്കേഷനിൽ എത്താൻ അനുവദിക്കുന്നത് ഒരിക്കലും ഉപകരണത്തിന്റെ നിയന്ത്രണ ഇന്റർഫേസിൽ എത്താൻ അനുവദിക്കണമെന്ന് ആവശ്യപ്പെടുന്നില്ല, രണ്ട് അനുമതികളും വ്യത്യസ്ത നിയമങ്ങളിൽ നിന്ന് നൽകണം. രണ്ട് പാതകളും വെവ്വേറെ ഓഡിറ്റ് ചെയ്യുക, കാരണം പങ്കിട്ട നിയമം ഏതാണ് തുറന്നതെന്ന് മറയ്ക്കുന്നു.
വിവർത്തനം താഴെയുള്ള നിയമങ്ങൾക്ക് എന്ത് കാണാമെന്ന് മാറ്റുന്നു
ഉറവിട വിവർത്തനം സൗകര്യപ്രദമാണ്, അത് വിവരങ്ങൾ നശിപ്പിക്കുന്നു. masquerade-ന് ശേഷം ഓരോ ക്ലയന്റും ഉപകരണം പോലെ കാണപ്പെടുന്നു, അതിനാൽ ഉപയോക്താക്കളെ വേർതിരിക്കാൻ എഴുതിയ താഴെയുള്ള നിയമത്തിന് അത് ഇനി ചെയ്യാനാവില്ല. ഇത് ലോഗിംഗ് പ്രശ്നം മാത്രമല്ല, ഇത് നയ പ്രശ്നമാണ്: ക്ലയന്റ് വിലാസത്തിൽ കീ ചെയ്ത നിയമം നിശബ്ദമായി ഗേറ്റ്വേയിൽ കീ ചെയ്ത നിയമമായി മാറുന്നു. ഉപയോക്താവ് തോറുമുള്ള നയം പ്രധാനമെങ്കിൽ, ഉറവിടം സംരക്ഷിക്കുക അല്ലെങ്കിൽ വിവർത്തനത്തിന് മുമ്പ് നയം പ്രയോഗിക്കുക.
മറുപടി പാതയും അതേ പരിശോധന അർഹിക്കുന്നു. ലക്ഷ്യസ്ഥാനം മടങ്ങിവരുന്ന പാക്കറ്റിന് ഏത് റൂട്ട് തിരഞ്ഞെടുക്കുന്നു എന്ന് രേഖപ്പെടുത്തുക, കാരണം അസമമായ മടങ്ങിവരവ് സ്റ്റേറ്റ്ഫുൾ പരിശോധന ഒഴിവാക്കി സ്ഥാപിക്കപ്പെട്ട് പിന്നീട് നിലയ്ക്കുന്ന ഒരു കണക്ഷൻ ഉണ്ടാക്കുന്നു. രണ്ട് ദിശകളും നിങ്ങൾ വരച്ച അതിർത്തി കടക്കണം, അല്ലെങ്കിൽ അതിർത്തി അലങ്കാരമാണ്.
sudo tcpdump -ni inside0 host 10.20.5.10
ip route get 10.20.5.10
sudo iptables -t nat -S POSTROUTINGഅനുവദിച്ചതും നിരസിച്ചതുമായ ഒരു പ്രവർത്തനം സ്വീകരിക്കുക
മാനേജ്മെന്റ് ഹോസ്റ്റിൽ നിന്നല്ല, യഥാർത്ഥ വിദൂര ക്ലയന്റിൽ നിന്ന് പരീക്ഷിക്കുക, കാരണം മാനേജ്മെന്റ് ഹോസ്റ്റ് സാധാരണയായി ഉപയോക്താവ് ഒരിക്കലും എത്താത്ത ഇടത്താണ് ഇരിക്കുന്നത്. ഒരു അനുവദിച്ച പ്രവർത്തനം പാത പ്രവർത്തിക്കുന്നു എന്ന് തെളിയിക്കുന്നു, ഒരു നിരസിച്ചത് നയം എന്തെങ്കിലും ചെയ്യുന്നു എന്നും. ഓരോ സ്ഥാന മാറ്റത്തിനും ശേഷം രണ്ടും പ്രവർത്തിപ്പിക്കുക, ഉപയോഗിച്ച ഉറവിട ഐഡന്റിറ്റിയും ലക്ഷ്യസ്ഥാനവും രേഖപ്പെടുത്തുക. വിജയം മാത്രം തെളിയിക്കുന്ന പരീക്ഷണത്തിന് ശരിയായ നിയമത്തെ കാണാത്ത നിയമത്തിൽ നിന്ന് വേർതിരിക്കാനാവില്ല.
തുടർന്ന് അവസ്ഥ മാറ്റുന്ന കേസുകൾ പരീക്ഷിക്കുക: വീണ്ടും കണക്റ്റ് ചെയ്യൽ, കീ റൊട്ടേഷനെ അതിജീവിക്കുന്ന സെഷൻ, ഉപകരണത്തിന്റെ സ്വന്തം തകരാർ. അപ്ഡേറ്റുകൾ, ശേഷി, വീണ്ടെടുക്കൽ എന്നിവ ഒരേ ലേഔട്ടിന്റെ ഭാഗമായി താരതമ്യം ചെയ്യുക, കാരണം നിരവധി ലോജിക്കൽ നിയന്ത്രണങ്ങൾ വഹിക്കുന്ന ഒരു ഉപകരണം നിരവധി ലേബലുകളുള്ള ഒരു പരാജയ ഡൊമെയ്നാണ്. പങ്കിട്ട അഡ്മിൻ ക്രെഡൻഷ്യലോ പരിധിയില്ലാത്ത റൂട്ടോ അത് സൃഷ്ടിക്കേണ്ടിയിരുന്ന അതിർത്തിയെ തോൽപ്പിക്കുമ്പോൾ രണ്ടാമത്തെ ബോക്സും സ്വതന്ത്രമല്ല.
എൻഡ്പോയിന്റ്, ഡീക്രിപ്റ്റ് ചെയ്ത പാത, അത് പരിമിതപ്പെടുത്തുന്ന നിയന്ത്രണം എന്നിവ രേഖപ്പെടുത്തുക. നടപ്പാക്കലിനെ എന്ത് വിളിച്ചാലും ആ മൂന്ന് വരികൾ അർത്ഥവത്തായി നിലനിൽക്കുന്നു.