നിങ്ങളുടെ സൈറ്റിന്റെ VPN എവിടെ അവസാനിക്കുന്നു എന്നത് എന്ത് പരിശോധിക്കപ്പെടും എന്ന് തീരുമാനിക്കുന്നു

സൈറ്റുകൾക്കിടയിലെ തുരങ്കം മുഴുവൻ പരിശോധനാ രൂപകൽപ്പനയും തീരുമാനിക്കുന്ന ഒരു വിശദാംശം മറയ്ക്കുന്നു: ഉള്ളിലെ പാക്കറ്റ് വ്യക്തമായ പാഠമായി പ്രത്യക്ഷപ്പെടുന്ന അതേ ഉപകരണം. ആ ബിന്ദുവിന് മുമ്പ് എല്ലാം ESP കാണുന്നു, അതിന് ശേഷം എല്ലാം ഒരു നിയമത്തിന് പിടിക്കാവുന്ന സാധാരണ IP കാണുന്നു. അതിർത്തി തെറ്റായ സ്ഥലത്ത് വെച്ചാൽ നിങ്ങൾ പണം കൊടുത്ത ഫയർവാൾ ലൈസൻസുള്ള റൗട്ടറായി മാറും. താഴെയുള്ള വഴികാട്ടി ആദ്യം വര വരച്ച് പിന്നീട് മാത്രം ഏത് ഉപകരണം അതിന് ഉടമയാകണം എന്ന് ചോദിക്കുന്നു.

പാക്കറ്റ് ഇനി എൻക്രിപ്റ്റ് ചെയ്യപ്പെടാത്തിടത്ത് വര വരയ്ക്കുക

ടണൽ മോഡിൽ യഥാർത്ഥ പാക്കറ്റ് എൻക്രിപ്റ്റ് ചെയ്ത്, സഹ ഗേറ്റ്‌വേയിലേക്ക് വിലാസമിട്ട പുതിയ പുറം IP തലക്കെട്ടിൽ പൊതിയുന്നു. ആ പുറം പാക്കറ്റ് ESPയ്ക്കായി പ്രോട്ടോക്കോൾ 50 വഹിക്കുന്നു, അതിനാൽ രണ്ട് ഗേറ്റ്‌വേകൾക്കിടയിലുള്ള ഏത് ഉപകരണവും ഉള്ളിലെ വിലാസങ്ങൾ വായിക്കാതെ അത് റൗട്ട് ചെയ്യാം. ഡീക്രിപ്റ്റ് ചെയ്യുന്ന ആദ്യ ഉപകരണമാണ് സുരക്ഷാ അതിർത്തി, ഉള്ളിലെ പ്രവാഹത്തിൽ നയം പ്രയോഗിക്കാനാകുന്ന ആദ്യ ഉപകരണവും അതുതന്നെ. ആ ബിന്ദുവിന് താഴെ എല്ലാം സാധാരണ റൗട്ടിംഗ്.

ചിത്രത്തിൽ മൂന്ന് കാര്യങ്ങൾ അടയാളപ്പെടുത്തുക: ESP സ്വീകരിക്കുന്ന പുറം അന്തിമ ബിന്ദു, നയത്തിൽ പേരിട്ട സംരക്ഷിത നെറ്റ്‌വർക്കുകൾ, കൂടാതെ ഡീക്രിപ്റ്റ് ചെയ്ത പാക്കറ്റ് സ്വീകരിക്കുന്ന അടുത്ത ചുവട്. ഈ മൂന്നും ഒരേ ഉപകരണത്തിലല്ലെങ്കിൽ നിങ്ങൾക്ക് രൂപകൽപ്പന ചെയ്യേണ്ട കൈമാറ്റമുണ്ട്, ഒരൊറ്റ നിയന്ത്രണ ബിന്ദുവല്ല.

RFC 4301 ഡീക്രിപ്റ്റ് ചെയ്യുന്ന ഉപകരണത്തെ സുരക്ഷാ ഗേറ്റ്‌വേ എന്ന് വിളിക്കുന്നു, അതിന്റെ നയത്തെ അതിർത്തിയുടെ ഭാഗമായി കാണുന്നു. ഇത് ഉൽപ്പന്ന വിഭാഗത്തേക്കാൾ ഉപയോഗപ്രദമായ ചട്ടക്കൂടാണ്, കാരണം ഉപകരണം നയം കൈവശം വയ്ക്കുമ്പോഴാണ് അതിർത്തിയാകുന്നത്, അതിന്റെ ഡാറ്റ ഷീറ്റ് ഫയർവാൾ എന്ന് പറയുമ്പോഴല്ല.

ഫയർവാൾ അവസാനമായി: ഒരു ഉപകരണം, ഒരു നയ ബിന്ദു

ഫയർവാൾ തുരങ്കം അവസാനിപ്പിക്കുമ്പോൾ, മുകളിലെ റൗട്ടർ അതിന് ESP മാത്രം എത്തിക്കണം. ഫയർവാൾ സഹ ഉപകരണത്തെ സ്ഥിരീകരിച്ച്, ഡീക്രിപ്റ്റ് ചെയ്ത്, പിന്നീട് സെർവർ VLAN ലേക്ക് പോകുന്ന ഉള്ളിലെ പാക്കറ്റിൽ തന്റെ സാധാരണ നിയമങ്ങൾ പ്രയോഗിക്കുന്നു. ഇത് നയം വായിക്കാൻ ഒരിടവും ലോഗുകൾ വായിക്കാൻ ഒരിടവും നൽകുന്നു, ഓഡിറ്റ് സാധാരണയായി ആവശ്യപ്പെടുന്നത് അതാണ്.

രണ്ട് അനുമതികളും വെവ്വേറെ പരിശോധിക്കുക. ഉപകരണത്തിലേക്ക് IKEയും ESPയും അനുവദിക്കുന്നത് ദൂര സൈറ്റിന് സെർവർ എത്താൻ അനുവദിക്കുന്ന അതേ നിയമമല്ല, കൂടാതെ തുരങ്കം സ്വീകരിച്ച് ഉള്ളിലെ പ്രവാഹം തടയുന്ന ഫയർവാൾ മറുവശത്ത് നിന്ന് കൃത്യമായി കേടായ തുരങ്കം പോലെ കാണപ്പെടുന്നു.

വില എന്തെന്നാൽ ഫയർവാൾ ഇപ്പോൾ സൈറ്റിന്റെ മുഴുവൻ ട്രാഫിക്കിന്റെയും വഴിയിൽ ഉണ്ട്, അതിനാൽ അതിന്റെ ത്രൂപുട്ട്, സെഷൻ പരിധികൾ, പരാജയത്തിൽ മാറുന്ന സ്വഭാവം എന്നിവ തുരങ്കത്തിന്റെ സ്വന്തം സ്വഭാവമാകുന്നു. അത് സംയോജിത സൈറ്റ് പ്രവാഹങ്ങൾക്കായി അളക്കുക, ഒരുപക്ഷേ വാങ്ങിയ ദൂര പ്രവേശന പ്രൊഫൈലിനായി അല്ല.

റൗട്ടർ അവസാനമായി: പരിശോധനാ ചുവട് ഐച്ഛികമാകുന്നു

റൗട്ടർ ഡീക്രിപ്റ്റ് ചെയ്യുമ്പോൾ, പാക്കറ്റ് റൗട്ടിംഗ് പട്ടികയിൽ എത്തുമ്പോൾത്തന്നെ വ്യക്തമാണ്. വേറെ ഫയർവാൾ ആ ട്രാഫിക് പരിശോധിക്കേണ്ടതുണ്ടെങ്കിൽ, റൗട്ടർ അത് ഫയർവാളിലൂടെ അയക്കണം, തിരിച്ചുള്ള വഴിയും അതേ രീതിയിൽ തിരികെ വരണം. റൗട്ടറിൽ നിന്ന് സെർവർ VLAN വരെയുള്ള നേരിട്ടുള്ള വഴി ഫയർവാളിനെ നിശബ്ദമായി വഴിയിൽ നിന്ന് നീക്കുന്നു പക്ഷേ ചിത്രത്തിൽ നിർത്തുന്നു.

ഇതുതന്നെയാണ് നിലവിലുള്ള നെറ്റ്‌വർക്കിൽ തിരയേണ്ട തകരാർ: ഒരേ പ്രിഫിക്‌സിലേക്ക് രണ്ട് വഴികൾ, ഒന്ന് ഫയർവാളിലൂടെ മറ്റൊന്ന് നേരിട്ട്, നേരിട്ടുള്ളത് പ്രിഫിക്‌സ് നീളത്തിലോ മെട്രിക്കിലോ വിജയിക്കുന്നു. തുരങ്കം ഇപ്പോഴും ട്രാഫിക് കടത്തിവിടുന്നു, നിങ്ങൾ വിശ്വസിക്കുന്ന പരിശോധന നടക്കുന്നില്ല.

വഴി അധിഷ്ഠിത തുരങ്കങ്ങൾ ഇത് ദൃശ്യമാക്കുന്നു, കാരണം തുരങ്കം മറ്റൊരു ഉപകരണത്തിലൂടെ റൗട്ട് ചെയ്യാവുന്ന ഇന്റർഫേസാണ്. നയ അധിഷ്ഠിത തുരങ്കങ്ങൾ ട്രാഫിക് സെലക്ടർ ഉപയോഗിച്ച് തിരഞ്ഞെടുക്കുന്നു, ഇത് ഡീക്രിപ്റ്റ് ചെയ്ത പാക്കറ്റിനെ റൗട്ടറിൽ മറ്റൊരു ലക്ഷ്യവുമില്ലാതെ വിട്ടേക്കാം.

രണ്ട് സ്ഥാനാർത്ഥികളോടും അതേ അഞ്ച് ചോദ്യങ്ങൾ ചോദിക്കുക

ചെറിയ ജോലിപ്പട്ടിക സവിശേഷതാ മാട്രിക്‌സിനെ തോൽപ്പിക്കുന്നു, കാരണം ഓരോ ചോദ്യവും ചിത്രത്തിലെ ഒരു വരയുമായി യോജിക്കുന്നു. ഓരോ സ്ഥാനാർത്ഥിയോടും ചോദിക്കുക:

• ഏത് IKE പതിപ്പുകൾ, ഏത് സഹ സ്ഥിരീകരണ രീതികൾ, ഏത് റൗട്ടിംഗ് മാതൃകകൾ ഈ റിലീസ് യഥാർത്ഥത്തിൽ പിന്തുണയ്ക്കുന്നു?
• ESP എവിടെ സ്വീകരിക്കപ്പെടുന്നു, ഡീക്രിപ്റ്റ് ചെയ്ത പ്രവാഹം എവിടെ അനുവദിക്കപ്പെടുന്നു അല്ലെങ്കിൽ നിരാകരിക്കപ്പെടുന്നു?
• പ്രാദേശിക ഹോസ്റ്റുകൾ ദൂര പ്രിഫിക്‌സുകൾ എങ്ങനെ പഠിക്കുന്നു, മറുവശം നിങ്ങളുടേത് എങ്ങനെ പഠിക്കുന്നു?
• യഥാർത്ഥ ഭാരത്തിന് അന്തിമ ബിന്ദു എത്ര ത്രൂപുട്ട്, എത്ര സെഷനുകൾ, പരാജയത്തിൽ മാറുന്ന ഏത് സ്വഭാവം സഹിക്കണം?
• തുരങ്കം തന്നെ കേടായ വസ്തുവാകുമ്പോൾ സഹ ഉപകരണത്തിന്റെ ആധികാരികതകൾ, നയം, വീണ്ടെടുപ്പ് വഴി എന്നിവയുടെ ഉടമ ആരാണ്?

pfSense നയ അധിഷ്ഠിതവും വഴി അധിഷ്ഠിതവുമായ IPsec-നെ വെവ്വേറെ പരിധികളുള്ള വെവ്വേറെ മാതൃകകളായി രേഖപ്പെടുത്തുന്നു, ഈ വ്യത്യാസം പെട്ടിയിലെ ലേബലിനേക്കാൾ പ്രധാനമാണ്. നിങ്ങൾ യഥാർത്ഥത്തിൽ വിന്യസിക്കാൻ പോകുന്ന റിലീസിൽ കൃത്യമായ മോഡും ഡീക്രിപ്റ്റ് ചെയ്ത ട്രാഫിക്കിന്റെ പിന്തുണയുള്ള ഫിൽട്ടറിംഗും പരിശോധിക്കുക.

ഏതെങ്കിലും സ്ഥാനാർത്ഥിക്ക് രണ്ടാം ചോദ്യത്തിന് നിങ്ങൾക്ക് വായിക്കാവുന്ന ഒരു നിയമം കൊണ്ട് ഉത്തരം നൽകാനാകുന്നില്ലെങ്കിൽ, ബാക്കിയെല്ലാം എത്ര നന്നായി ചെയ്താലും അത് നിങ്ങൾ ആഗ്രഹിക്കുന്ന അതിർത്തിയല്ല. അതെ എന്നതിന് പകരം നിയമത്തിന്റെ പാഠം ആവശ്യപ്പെടുക, അവ്യക്തമായ ഉത്തരത്തെ ഇല്ല എന്ന് കരുതുക.

വഴി ക്യാപ്ചർ കൊണ്ട് പരിശോധിക്കുക, ചിത്രം കൊണ്ടല്ല

ചിത്രം ഉദ്ദേശ്യം വിവരിക്കുന്നു, ക്യാപ്ചർ സ്വഭാവം വിവരിക്കുന്നു, അതിനാൽ ഏതെങ്കിലും ഒന്നിനെ വിശ്വസിക്കുന്നതിന് മുമ്പ് ഏത് ഇന്റർഫേസ് ESPയും ഏത് ഉള്ളിലെ പ്രവാഹവും വഹിക്കുന്നു എന്ന് ഉറപ്പാക്കുക.

tcpdump -ni wan0 esp
tcpdump -ni lan0 host 10.60.4.20
ip xfrm policy list

ആദ്യ ക്യാപ്ചർ ESP വരുന്നതായി കാണിക്കുകയും രണ്ടാമത്തേത് ഉള്ളിലെ പാക്കറ്റ് LAN വശത്ത് കാണിക്കുകയും ചെയ്താൽ, ഡീക്രിപ്ഷൻ ബിന്ദു നിങ്ങൾ കരുതുന്നിടത്തുതന്നെയുണ്ട്. ഉള്ളിലെ പാക്കറ്റ് ഫയർവാളിനെ ഒഴിവാക്കുന്ന ഭാഗത്ത് പ്രത്യക്ഷപ്പെട്ടാൽ, നയത്തിന്റെ പാഠം എന്ത് പറഞ്ഞാലും റൗട്ടിംഗ് തെറ്റാണ്. xfrm പട്ടിക അപ്പോൾ ഏത് സെലക്ടറുകൾ ഇൻസ്റ്റാൾ ചെയ്തിട്ടുണ്ട്, ഏത് ദിശയിലാണ് എന്ന് കാണിക്കും.

തിരിച്ചുള്ള വഴിയിൽ ക്യാപ്ചർ ആവർത്തിക്കുക, കാരണം സൈറ്റിന് രണ്ട് സാധ്യമായ പുറപ്പെടലുകൾ ഉള്ളപ്പോൾ അസമമായ റൗട്ടിംഗ് സാധാരണമാണ്. ഒരു ദിശയിൽ പ്രവർത്തിച്ച് മറ്റൊന്നിൽ സമയം കഴിയുന്ന തുരങ്കം മിക്കവാറും എപ്പോഴും ഇതുതന്നെയാണ്, മറുവശത്തുള്ള ഏത് നയ തിരുത്തും അത് ശരിയാക്കില്ല.