Сайт хоорондын VPN: аль чиглэлд үнэхээр дүрэм хэрэгтэй вэ?

Хүсэлт болон хариулт хоёуланд нь зөвшөөрөл хэрэгтэй, гэхдээ төлөвтэй галт хана ихэвчлэн өөрийн хүлээж авсан холболтын буцалтыг зөвшөөрдөг. Аль талд дүрэм дутагдаж байгааг олж мэдээрэй.

Хоёр төгсгөл хоёулаа туннель тогтсоныг мэдээлж, алслагдсан салбар гарцаас хариулж байхад програмын нэг талын хэрэглэгчдэд хугацаа хэтэрсээр байна. Ердийн зөвлөгөө нь хоёр чиглэлд галт хананы дүрэм нэмэхийг хэлдэг. Заримдаа энэ зөв, заримдаа аль хэдийн байгаа дүрмийг давхарладаг, заримдаа хоёр дахь дүрэм нь төлөвийг эвддэг. Аль тохиолдол хамаарах нь галт хана пакетыг хаана харж байгаагаас хамаарна.

Төлөвтэй буцах урсгал тоог өөрчилдөг

Төлөвтэй галт хана хүсэлтийг бүртгэж, хоёр дахь дүрэмгүйгээр хариултыг нэвтрүүлдэг тул зөвхөн нэг дүрэм хэрэгтэй загвар хэвийн юм. Төлөвгүй хандалтын жагсаалтад ийм санах ой байхгүй бөгөөд хариултад тодорхой зөвшөөрөл олгох ёстой. Хоёулаа өөрийн платформд зөв, тиймээс зөвлөгөөнүүд хоорондоо зөрчилддөг.

Өмнөх платформын дамжуулалтын баримт бичгийг уншиж, засварлаж буй бодлого пакетыг харж буй газартаа төлөвтэй эсэхийг шалгаарай. Тогтсон урсгалд тодорхой хориг, эсвэл төлөвийн хүснэгтээс өмнө хариултыг үнэлдэг дүрмийн дараалал нь ажиллаж буй загварыг ойлгомжгүй болгодог. Дүрмийн тоо нь хэрэгжүүлэлтийн дэлгэрэнгүй, харин шаардлага нь зөвшөөрөгдсөн ярианы хоёр чиглэл хоёулаа дуусч чадах явдал юм.

Галт хана тайлагдсан пакетуудыг хаана хардаг

Бодлогод суурилсан туннельд галт хана шифрлэгдсэн пакетыг тайлахаас өмнө, тайлагдсан пакетыг дараа нь өөр өөр интерфейсээр үнэлж болно. Буруу интерфейсэд зориулж бичсэн дүрэм байдаг, зөв бөгөөд хэзээ ч таарахгүй. Ингэж ажиллаж буй байршуулалтаас хуулсан дүрмийн багц ижил техник хэрэгсэлд бүтэлгүйтэж болно.

Маршрутад суурилсан IPsec болон ихэнх орчин үеийн хэрэгжүүлэлтүүд туннелийн интерфейс санал болгодог тул тайлагдсан пакет тэнд ирж, ердийн интерфейсийн дүрэм үйлчилнэ. Дүрмийн багцыг нөгөөд зориулж бичсэн гарын авлагаас хуулахын өмнө байршуулалт аль загварыг ашиглаж байгааг баталгаажуулаарай. Туннелийн интерфейс нь пакет ерөнхийдөө тайлагдсан эсэхийг мэдэхийг хүсэх үед харах газар мөн.

Тэгш бус маршрутлалт таамаглалыг эвддэг

Төлөвтэй галт хана ярианы хоёр хагасыг хардаг гэж үздэг. Хэрэв хариулт өөр гарцаар буцаж ирвэл тэр төхөөрөмж хүсэлтийн төлөв хадгалахгүй бөгөөд өөрийн бодлогын дагуу хаядаг. Шинж тэмдэг нь илгээгч талын ямар ч дүрэм засаж чадахгүй нэг чиглэлийн алдаа юм. Хариултын замыг мөрдөөрэй ямар нэг зүйлийг засварлахаас өмнө.

Хоёр талд өргөн зөвшөөрлийн дүрэм нэмэхийн өмнө хариултын маршрутыг шалгаарай. Интерфейс бүр дээр бүхнийг тэвчих нь маршрутлалтын алдааг нууж, нэгэн зэрэг хандалтыг өргөжүүлдэг бөгөөд энэ нь боломжит хамгийн муу хослол юм.

Бодит эх хаягуудтайгаар хоёр чиглэлийг шалгаарай

Алслагдсан тал үнэхээр харж буй хаягаар туршаад үзээрэй, учир нь орчуулга нь эх дүрмийг юутай ч таарахгүй болгож болно. Хоёр гарцад нэгэн зэрэг барилт ажиллуулаарай.

tcpdump -ni any 'host 10.30.8.15 and tcp port 443'
nft list ruleset | grep -A 8 'chain forward'
ip route get 10.30.8.15
conntrack -L | grep 10.30.8.15

Алслагдсан гарцад гэнэтийн эх хаягтай гарч ирсэн хүсэлт нь хэзээ ч таарахгүй дүрмийг тайлбарлаж, буруу интерфейсэд ирсэн хариулт нь төлөвийн зөрүүг тайлбарладаг. Дараа нь зөвшөөрөгдсөн хүрээний дотор нэг очих газрыг, гадна нэг очих газрыг туршаад үзээрэй, ингэснээр хил хязгаарыг таамаглахгүй харуулна.

Орчуулгын дараах эх хаяг, тайлагдсан пакет ашигласан интерфейс, тохирсон дүрмийг тэмдэглээрэй. Эдгээр гурван баримт бүх мөрдөн шалгалтыг давтахгүйгээр дараагийн тасалбарт хариулна.

Холбоотой нийтлэлүүд