VPN വഴി ബന്ധിപ്പിച്ച രണ്ട് ഓഫീസുകൾക്കിടയിലുള്ള പ്രവേശനം എങ്ങനെ പരിമിതപ്പെടുത്താം

സൈറ്റ്-ടു-സൈറ്റ് ടണൽ ഒരു ചോദ്യത്തിന് ഉത്തരം നൽകുന്നു, രണ്ട് ഓഫീസുകൾക്ക് പാക്കറ്റുകൾ കൈമാറാൻ കഴിയുമോ എന്ന്, പ്രധാനമായത് തുറന്നിടുന്നു: ഏത് ശാഖാ ഉപകരണത്തിന് ഏത് കേന്ദ്ര സേവനത്തിൽ എത്താം. ടണലിനെ പരസ്പര വിശ്വാസമായി കാണുന്നതാണ് ഒരു അതിഥി ലാപ്ടോപ്പ് ധനകാര്യ സർവറിന്റെ അതേ പാതയിൽ എത്തുന്ന വഴി. പരിഹാരം മികച്ച ടണലല്ല, ഡീക്രിപ്ഷന് ശേഷം പ്രയോഗിക്കുന്ന വ്യക്തമായ അനുമതി പട്ടികയാണ്. ഈ ഗൈഡ് ആ പട്ടികയെ നിർവചനത്തിൽ നിന്ന് തെളിയിച്ച നിരസിക്കലിലേക്ക് കൊണ്ടുപോകുന്നു.

ഈ ക്രമത്തിൽ പ്രവർത്തിക്കുക, താഴെയുള്ള നയ നടപടികൾ കടന്നുപോകുന്നതുവരെ ടണൽ പാത വിശാലമാക്കരുത്.

ഗേറ്റ്വേ തൊടുന്നതിന് മുൻപ് മാട്രിക്സ് എഴുതുക

ഉപയോഗപ്രദമായ ഒരു വരി മൂന്ന് കാര്യങ്ങൾ പറയുന്നു: ഉറവിട ഗ്രൂപ്പ്, ലക്ഷ്യ ഹോസ്റ്റ് അല്ലെങ്കിൽ സേവന നെറ്റ്വർക്ക്, അപ്ലിക്കേഷൻ യഥാർത്ഥത്തിൽ ഉപയോഗിക്കുന്ന പ്രോട്ടോക്കോളും പോർട്ടും. ശാഖയും ഡാറ്റാ സെന്ററും എൻട്രികളല്ല. സ്വകാര്യ DNS-ഉം പ്രാമാണീകരണ സേവനങ്ങളും സ്വന്തം വരികൾ നേടുന്നത് അപ്ലിക്കേഷന് അവയില്ലാതെ പ്രവർത്തിക്കാൻ കഴിയാത്തപ്പോൾ മാത്രമാണ്.

ഉറവിടങ്ങൾ സബ്നെറ്റ് സൗകര്യത്തിനല്ല, റോളിന് അനുസരിച്ച് ഗ്രൂപ്പ് ചെയ്യുക: ജീവനക്കാർ, അതിഥികൾ, ഭരണം. മൂന്നും ഒരു പരന്ന LAN പങ്കിടുമ്പോൾ ഗേറ്റ്വേയ്ക്ക് നെറ്റ്വർക്ക് പാളിയിൽ അവരെ വേർതിരിക്കാനാവില്ല, അതിനാൽ ഐഡന്റിറ്റി നിയന്ത്രണമോ സെഗ്മെന്റേഷനോ ആദ്യം വരണം. തുടർന്ന് ഓരോ വരിയിലും ഉടമയും അവലോകന തീയതിയും ചേർത്ത് മാട്രിക്സ് രേഖാമൂലം ഇടുക.

പാക്കറ്റുകൾ ഡീക്രിപ്റ്റ് ചെയ്യുന്നിടത്ത് പ്രയോഗിക്കുക

IKE-ഉം ESP-ഉം അനുവദിക്കുന്ന നിയമങ്ങൾ പുറം ടണൽ മാത്രമാണ് നിർമ്മിക്കുന്നത്. ആന്തരിക ട്രാഫിക് ടണൽ ഇന്റർഫേസിൽ തുറന്ന് എത്തുന്നു, അനുമതി പട്ടികയുടെ സ്ഥാനം അവിടെയാണ്: ഡീക്രിപ്റ്റ് ചെയ്യുന്ന ഉപകരണത്തിൽ ഫോർവേഡിംഗ് ചെയിൻ, സ്ഥിര ഡ്രോപ്പ്, മാട്രിക്സിന്റെ ഓരോ വരിക്കും ഒരു നിയമം. Linux ഗേറ്റ്വേകളിൽ ഇതിനർത്ഥം ഫോർവേഡിംഗ് സജീവമാണെന്നും ഫിൽട്ടർ നിയമങ്ങൾ ഭൗതിക അപ്ലിങ്കിലല്ല, ടണൽ ഉപകരണത്തിലാണെന്നുമാണ്, എന്ന് strongSwan ഫോർവേഡിംഗ് ഗൈഡ് വിശദീകരിക്കുന്നു.

ട്രാഫിക് സെലക്ടറുകൾ റൂട്ടിംഗ് തീരുമാനമാണ്, അംഗീകാര തീരുമാനമല്ല. രണ്ട് സബ്നെറ്റുകളെയും ഉൾക്കൊള്ളുന്ന വിശാല സെലക്ടർ റൂട്ടിംഗിന് ശരിയായിരിക്കാം, എന്നാൽ ഫയർവാൾ ഇപ്പോഴും ഒരു ഹോസ്റ്റിലേക്ക് TCP 443 മാത്രമാണ് അനുവദിക്കുന്നത്. സെലക്ടർ ടണലിനായി ചർച്ച ചെയ്യപ്പെടുന്നു, അതിലേക്ക് എന്ത് പ്രവേശിക്കാം എന്ന് വിവരിക്കുന്നു, ഏതെങ്കിലും ഉപകരണത്തിന് എന്ത് ഉപയോഗിക്കാം എന്നല്ല. സെലക്ടർ വിശാലമാണെന്ന കാരണത്താൽ ഒരിക്കലും ഫയർവാൾ നിയമം വിശാലമാക്കരുത്.

iptables -A FORWARD -i tun0 -s 10.20.0.0/24 -d 10.10.5.10 -p tcp --dport 443 -j ACCEPT
iptables -A FORWARD -i tun0 -j DROP

NAT-ഉം ഓവർലാപ്പിംഗ് സബ്നെറ്റുകളും നിയമങ്ങൾ മാറ്റുന്നു

ശാഖാ ഗേറ്റ്വേ ടണലിന് മുൻപ് ഓരോ ഹോസ്റ്റിനെയും ഒരു വിലാസത്തിലേക്ക് പരിഭാഷപ്പെടുത്തുമ്പോൾ, ഉറവിടാധിഷ്ഠിതമായ ഓരോ വരിയും ആ ഒരു വിലാസത്തിൽ തകരുന്നു. ഒന്നുകിൽ ടണൽ ട്രാഫിക്കിന്റെ പരിഭാഷ നിർത്തുക, അല്ലെങ്കിൽ നിയമങ്ങൾ മറ്റെന്തെങ്കിലും, ഉദാഹരണത്തിന് പരിഭാഷയ്ക്ക് മുൻപ് രേഖപ്പെടുത്തിയ യഥാർത്ഥ ഉറവിട വിലാസത്തിൽ ആശ്രയിക്കണമെന്ന് സമ്മതിക്കുക. വിദൂര അറ്റത്തിനും അതേ പ്രശ്നമുണ്ട്, കാരണം ലക്ഷ്യ ഹോസ്റ്റ് യഥാർത്ഥത്തെയല്ല, NAT-ന് ശേഷമുള്ള വിലാസമാണ് കാണുന്നത്.

ഓവർലാപ്പിംഗ് ശ്രേണികളാണ് മറ്റൊരു കെണി. രണ്ടും 192.168.1.0/24 ഉപയോഗിക്കുന്ന രണ്ട് ഓഫീസുകളെ ഒരു വശം മാപ്പ് ചെയ്യാതെ ഒരു നയ പട്ടികയിൽ വിവരിക്കാനാവില്ല, മാപ്പിംഗ് കൂട്ടിയിടിക്കാത്ത അഡ്രസ്സിംഗിന് പകരമല്ല. പിന്നീട് അഴിക്കേണ്ട നിയമങ്ങൾ എഴുതുന്നതിന് മുൻപ് പ്ലാൻ ശരിയാക്കുക.

നിരസിക്കൽ തെളിയിക്കുക, വിജയം മാത്രമല്ല

അനുവദിച്ച അപ്ലിക്കേഷൻ മാത്രം പരീക്ഷിക്കുന്നത് വളരെ കുറച്ചേ തെളിയിക്കുന്നുള്ളൂ, കാരണം മുകളിൽ എവിടെയോ ഉള്ള ഒരു ഉദാര നിയമം അതേ ഫലം നൽകുന്നു.

ഒരു സാധാരണ ശാഖാ ഉപകരണത്തിൽ നിന്ന് ഉദ്ദേശിച്ച സേവനത്തിൽ എത്തി മുഴുവൻ സെഷനും പ്രവർത്തിക്കുന്നുവെന്ന് ഉറപ്പാക്കുക. തുടർന്ന് അടച്ചിരിക്കേണ്ട ഒരു ലക്ഷ്യം പരീക്ഷിക്കുക, ഉദാഹരണത്തിന് ശാഖയ്ക്ക് ബന്ധമില്ലാത്ത ഒരു സർവറിലെ ഭരണ പോർട്ട്, അത് ഉപേക്ഷിച്ച കൗണ്ടറോ ലോഗ് എൻട്രിയോ വായിക്കുക. നിയമക്കൂട്ടം പ്രവർത്തിക്കുന്നുണ്ടോ എന്ന് നോക്കാൻ അത് ഓഫാക്കുന്നത് പരീക്ഷണം അസാധുവാക്കുകയും നിങ്ങൾ നോക്കുമ്പോൾ ഗേറ്റ്വേ തുറന്നിടുകയും ചെയ്യുന്നു.

പട്ടിക ജീവനോടെ നിലനിർത്തുക

അപ്ലിക്കേഷനുകൾ നീങ്ങുന്നു, സ്വന്തം അപ്ലിക്കേഷനെക്കാൾ കൂടുതൽ കാലം ജീവിക്കുന്ന നിയമം ആരുടെയും ഉടമസ്ഥതയില്ലാത്ത ഒരു ദ്വാരമായി മാറുന്നു. അവലോകന തീയതി വരിയോട് ചേർക്കുക, സേവനം വിലാസം മാറ്റുമ്പോൾ അതേ പരിപാലന ഘട്ടത്തിൽ സെലക്ടർ പരിധിയും ഫയർവാൾ നിയമവും മാറ്റുക.

ടണലിന് പിന്നിലും ഹോസ്റ്റ് തല നിയന്ത്രണങ്ങൾ പ്രധാനമാണ്: സർവറിന്റെ സ്വന്തം ഫയർവാൾ ശാഖാ ശ്രേണി അത് പ്രസിദ്ധീകരിക്കുന്ന സേവനത്തിന് മാത്രം സ്വീകരിക്കണം. യോജിക്കുന്ന രണ്ട് പാളികൾ പൂർണ്ണമായി വിശ്വസിക്കുന്ന ഒരു പാളിയെക്കാൾ ഓഡിറ്റ് ചെയ്യാൻ എളുപ്പമാണ്.