Шифр тайлсны дараа: VPN траффикийг хамгийн түрүүнд аль бодлого хардаг вэ

VPN урсгал бүрэн шифрлэгдсэн, бүрэн баталгаажсан байсан ч хэн ч төлөвлөөгүй газарт бууж болно. Холбосон кабель нь дотоод пакетыг аль дүрэм боловсруулахыг тодорхойлохгүй; үүнийг бодлогын дэгээ болон зам тодорхойлно. Тиймээс rack диаграм дээр ижил харагдах хоёр загвар огт өөр хэрэгжилттэй байж болно. Аль нэгийг сонгох нь тайлагдсан урсгалыг хамгийн түрүүнд хардаг хяналтыг нэрлэхээс эхэлнэ.

Порт биш, бодлогын дэгээгээр шийд

VPN платформ бүр дамжуулахаас өмнө тодорхой цэг дээр тайлагдсан траффикийг үнэлдэг бөгөөд тэр цэг тохиргоонд нэртэй байдаг. Нэг платформд энэ нь бүлгийн бодлогын шүүлтүүр, нөгөөд интерфэйсийн бодлого эсвэл бүсийн хос, чиглүүлэгч төхөөрөмж дээр зүгээр л forward гинж байж болно. Дүрмийг дэгээ хэрэгжүүлдэг бол switch порт нь кабель дуусах газар төдий. Дэгээг олох нь эхний шийдвэр, учир нь бусад бүх зүйл түүнтэй харьцуулсан байрлал.

Техник хангамжийг харахаасаа өмнө урсгалыг бич: эх сурвалж хэн, хаашаа явж байна, ямар протокол ачаалж байна, ямар үйлчилгээ зөвшөөрөгдсөн. Дараа нь эдгээр дөрвөн баримтыг тус бүрд нь хэрэгжүүлж буй хяналтыг ол.

Хоёр зам, хэрэгжилтийн хоёр өөр түүх

Хоёр хэлбэр нийтлэг бөгөөд тус бүр өөр шаардлагад тохирч болно.

endpoint -> shared inside subnet -> server
endpoint -> dedicated transit -> policy firewall -> server subnet

Эхний хэлбэр нь гарц дээр шаардлагатай бүхнийг хэрэгжүүлж чадна, хэрэв гарцын бодлого тэр очих газарт зориулагдсан бөгөөд серверт тойрох зам байхгүй бол. Хоёр дахь хэлбэр хил нэмдэг, гэхдээ зам болон бодлого траффикийг үнэхээр дамжуулж байвал л. Төгсгөлийн цэгтэй нэг сегмент дээр байгаа сервер төсөөлсөн завсрын үсрэлтийг хэзээ ч дагахгүй байж болно. Диаграм нь санааг, чиглүүлэлтийн хүснэгт нь юу болж байгааг харуулна.

Зураг биш, замын хайлтаар шалга. Пакет гарах интерфэйс болон сонгосон дараагийн үсрэлт нь хоёр дахь хэлбэр зохион бүтээсэн ёсоор ажиллаж байгаа эсэхийг тодорхойлно.

ip route get 10.30.7.20
sudo iptables -S FORWARD
sudo tcpdump -ni inside0 host 10.30.7.20

Топологийг тусгаарлалтаас салга

Дэд сүлжээг хуваалцах нь газрыг итгэмжлэхүйц болгодоггүй, тусгай дамжуулалт нь хамгаалагдсан болгодоггүй. Шийдвэрлэдэг нь бодитоор хэрэгжсэн хязгаарлалт, бодитоор явагдаж буй дамжуулалт, хэсэг бүрийг хэн удирдаж байгаа. Switch тоолох нь эдгээрийн аль нэгнийх нь талаар юу ч хэлэхгүй. Бодлого болон замаас шийдэж, топологи шийдвэрийг дагаг.

Траффикийн бүлгүүдийг мөн тусдаа авч үз. Алсын хандалтын пул, сайт хоорондын угтвар, тусгай шугамын сүлжээ нь нэг төхөөрөмжийг хуваалцаж, гэсэн хэдий ч өөр дүрэм шаардаж болно, учир нь тэдний таних тэмдэг, эрсдэл өөр. Нэг бүлэгт зориулж бичсэн дүрэм нь хаягийн төлөвлөгөөг хуваалцах үед бусдыг чимээгүйхэн хамардаг.

Байрлал бүрд эвдрэл, удирдлагыг шалга

Байрлал бүр эвдрэлийн горимтой бөгөөд ашигтай асуулт нь бүрэлдэхүүн зогсоход юу ажиллаж байгаа вэ. Нэг үхсэн төхөөрөмж дээр хэд хэдэн логик интерфэйс бие даасан сэргээлт өгөхгүй, ижил тэжээл эсвэл ижил администраторыг хуваалцсан доод firewall нь хоёр дахь хил биш. Удирдлагын зам хаана дамждаг вэ гэж асуу, учир нь зөвхөн туннелээр хүрэх консол нь сэргээлтийн зам огт биш; ssh [email protected] true туннелийн гаднаас ажиллуулах нь консол үүнээс хамааралгүйг нотлох хамгийн хямд арга. Нэг платформын бүлгийн бодлогын баримт бичиг шүүлтүүрээ тайлсны дараах болон шифрлэхийн өмнөх траффик дээр тавьдаг нь аливаа бүтээгдэхүүнд хайх ёстой яг ийм нэртэй дэгээ юм.

Кандидат бүрийн эвдрэлийн түүхийг хэрэгжүүлэлтийн түүхийн хажууд бич. Шалгалтад ялж, сэргээлтэд хожигддог байрлал бол солилцоо бөгөөд үүнийг ослын үеэр илрүүлэхийн оронд тийн бичих ёстой.

Зөвшөөрсөн ба хориглосон урсгалаар хүлээн ав

Баталсан туршилтын төлөвлөгөөтэйгээр бодит VPN эх сурвалжаас гурван зүйлийг шалга: ажиллах ёстой програмыг, ажиллах ёсгүй нөөцийг, хариу буцаж ирэх чиглэлийг. Татгалзал нь бодлого ажиллаж байгаагийн нотолгоо, харин зөвшөөрсөн урсгал зөвхөн зам байгааг харуулна.

Сонгосон зам болон бодлогын үр дүнг хамт хадгал, учир нь замгүй үр дүнг давтаж болохгүй, үр дүнгүй замыг хамгаалж болохгүй. Энэ хос нь аль switch давхарга өөрөө илүү аюулгүй гэсэн аливаа мэдэгдлээс илүү холболтын цэг сонгоход хэрэгтэй.