Шифрлэгдсэн дамжуулалт зөөгчид хандах эрх өгөхгүй

Хоёр зөвшөөрөгдсөн гарц нь итгэл багатай сүлжээний урсгалыг хязгаарлагдмал тээврийн сүлжээгээр дамжуулдаг. Ачааллыг шифрлэх нь түүнийг энгийн дамжуулалтын ажиглагчдад уншигдахгүй байлгадаг бөгөөд хүмүүс эхлээд энэ хэсгийг зохион бүтээгээд дараа нь түүний талаар бодохоо болидог. Шифрлэлтийн хийдэггүй зүйл бол итгэл багатай тал ямар нөөцөд хүрч болохыг тодорхойлох юм. Загварт хоёр хил хязгаар хэрэгтэй: нэг нь дамжуулагдаж буй ярианы эргэн тойронд, нөгөө нь зөөгч өөрт нь хандах эрхийн эргэн тойронд.

Доорх алхмуудыг дарааллаар гүйцэтгэж, аль ч алхамд гарсан алдааг тохиргооны засвар биш, загварын өөрчлөлт гэж үзээрэй.

Тохиргоог хүрэхээс өмнө хоёр хил хязгаарыг тодорхойл

Эхний хил бол яриа: аль гарцын хосууд туннель үүсгэж болох, түүгээр ямар дотоод урсгал нэвтрэх вэ. Хоёр дахь нь зөөгч: итгэл багатай хостнууд туннелиас гадна ямар хаяг, үйлчилгээнд хүрч болох вэ. Багууд ихэвчлэн эхнийхийг бүтээж, хоёр дахь нь аль хэдийн байсан маршрутжуулалтаас өвлөгддөг, ингэснээр хязгаарлагдмал загвар чимээгүйгээр өргөн болдог. Хяналт шалгалтад итгэл багатай хост хэн ч зөвшөөрөөгүй зүйлтэй ярьж байгааг илрүүлэхэд тэр өвлөлт нь ердийн үндсэн шалтгаан болдог.

Хоёуланг нь хаяг, порт, чиглэлийн жагсаалт хэлбэрээр бичээрэй. Жагсаалтыг бичих боломжгүй бол хил хязгаар хараахан тодорхойлогдоогүй байна.

1-р алхам: гадаад туннелийг хязгаарла

Зөөгч рүү харсан интерфейс дээр туннельд хэрэгтэй зүйлийг л зөвшөөр: хоёр гарцын хаягийн хооронд UDP 500 ба 4500 дээр IKE, NAT дамжуулалт ашиглагдаагүй газарт ESP. Тухайн интерфейс дээр ирж буй бусад бүхнийг, удирдлагын протоколуудыг оролцуулан, татгалз. ESP-ийн тодорхойлолт нь хамгаалалтын үйлчилгээг хамардаг; гарцууд зөөгчийн аль өөрийн үйлчилгээг ашиглаж болох талаар юу ч хэлдэггүй. Үүнийг тодорхой зөвшөөрлийн жагсаалт хэлбэрээр илэрхийл, ингэснээр шинээр нийтлэгдсэн зөөгчийн үйлчилгээ анхдагчаар хүрч болохгүй болно.

Энэ бол загварыг peering хэлэлцээр биш, дамжуулалтын загвар болгодог дүрмийн багц юм.

Үүнийг гарцын консолоос биш, итгэл багатай талаас шалга. Тэнд байгаа хост туннель босохоос өмнө ч зөөгчийн DNS серверт хүрч чадахгүй байх ёстой.

2-р алхам: алсын гарц юу хүргэхийг шийд

Алсын төгсгөлд сэргээгдсэн урсгал тодорхой газар очих ёстой. Ямар дотоод үйлчилгээ зөвшөөрөгдөх, ямар эх сурвалжийн мужаас, хариулт тэгш хэмтэй байх эсэхийг тодорхойл. Удирдлагын хандалтыг тусад нь хяна, учир нь мөнөөх гарц нь дамжуулалтын төлөвлөгөөний хэсэг байгаагүй захиргааны интерфейсийг ихэвчлэн нээдэг.

Амжилттай тайлалтад зогсдог диаграм хамгийн чухал шийдвэрийг алгасчихсан.

3-р алхам: давхарга бүрээр эзэмшлийг хадгал

Дамжуулалтын тоног төхөөрөмж гадаад пакетыг хүлээн авч дамжуулсар хэвээр байгаа тул засвар, хүчин чадлын төлөвлөлт хэрэгтэй. Туннелийн төгсгөлийн цэгүүд хамгаалагдсан протоколыг боловсруулж, дотоод урсгалыг өөрийн дамжуулах замд нээдэг тул өөрийн дүрэм, өөрийн хяналт хэрэгтэй. Эцсийн програмууд ачааллыг боловсруулдаг бөгөөд тунгалаг бус ачаалал нь тайлагдсан татан авалт хор хөнөөлгүй гэдгийг нотлохгүй.

Давхарга бүрт эзэмшигчийг томил. Эзэмшигчгүй давхаргууд л гулсаж байдаг.

4-р алхам: шалгаад, дараа нь эрх бүхий байгууллагад шилжүүл

Туннель боссон, зөөгчийн дүрэм хүчинтэй үед гадаад замыг шалга. Дараа нь итгэл багатай тал хүрэх ёсгүй нөөц бүрийг туршиж, бүтэлгүйтэл нь татгалзал мөн эсэх, замыг нуудаг хугацаа дуусалт биш эсэхийг батал. Хүртээмж, нөөцийн хязгаарыг ч шалга, учир нь шифрлэгдсэн холбоос ч дүүрч болно.

Зохицуулалттай эсвэл нууцлалтай орчинд загварыг хариуцлагатай аюулгүй байдлын байгууллагад хүргэж, түүний зөвшөөрсөн тусгаарлалтын архитектурыг ашигла. VPN тохиргоо болон үзэл баримтлалын тайлбар нь аккредитацийг бүрдүүлэхгүй. Тэр алхам нь цаасан ажил биш; загвар огт оршин байж болох эсэхийг шийддэг.