डिक्रिप्शननंतर: तुमची VPN रहदारी प्रथम कोणते धोरण पाहते

VPN प्रवाह पूर्णपणे एन्क्रिप्टेड आणि पूर्णपणे प्रमाणित असूनही कोणीही नियोजन न केलेल्या ठिकाणी पोहोचू शकतो. तुम्ही जोडता ती केबल आतील पॅकेट कोणता नियम हाताळतो हे ठरवत नाही; ते धोरण-हुक आणि मार्ग ठरवतात. म्हणूनच रॅक आकृतीवर सारखी दिसणारी दोन रचना पूर्णपणे वेगळ्या प्रकारे अंमलात येऊ शकतात. त्यांच्यातील निवड डिक्रिप्ट झालेला प्रवाह प्रथम पाहणाऱ्या नियंत्रणाला नाव देण्यापासून सुरू होते.

पोर्टनुसार नाही, धोरण-हुकनुसार ठरवा

प्रत्येक VPN प्लॅटफॉर्म पुढे पाठवण्यापूर्वी एखाद्या टप्प्यावर डिक्रिप्ट झालेल्या रहदारीचे मूल्यांकन करते, आणि त्या टप्प्याला संरचनेत नाव असते. एका प्लॅटफॉर्मवर तो गट-धोरण गाळणी, दुसऱ्यावर इंटरफेस धोरण किंवा झोन जोडी, आणि मार्गस्थ करणाऱ्या उपकरणावर तो फक्त forward साखळी असू शकतो. नियम हुक अंमलात आणतो, तर स्विच पोर्ट फक्त केबल संपण्याचे ठिकाण. हुक शोधणे हा पहिला निर्णय, कारण बाकी सर्व त्याच्या तुलनेत स्थान आहे.

हार्डवेअर पाहण्यापूर्वी प्रवाह लिहा: स्रोत कोण, कुठे जातो, कोणता प्रोटोकॉल वाहतो आणि कोणती सेवा अनुमत आहे. नंतर या चार तथ्यांपैकी प्रत्येक अंमलात आणणारे नियंत्रण शोधा.

दोन मार्ग, अंमलबजावणीच्या दोन वेगळ्या कथा

दोन आकार सामान्य आहेत आणि प्रत्येक वेगळ्या गरजेसाठी योग्य ठरू शकतो.

endpoint -> shared inside subnet -> server
endpoint -> dedicated transit -> policy firewall -> server subnet

पहिला आकार गेटवेवर सर्व आवश्यक गोष्टी अंमलात आणू शकतो, जर धोरण त्या गंतव्यासाठी लिहिलेले असेल आणि सर्व्हरकडे त्याला चकवणारा मार्ग नसेल. दुसरा आकार सीमा जोडतो, पण मार्ग आणि धोरण रहदारी खरोखर त्यातून जात असेल तरच. अंतिम बिंदूच्या त्याच विभागात असलेला सर्व्हर कल्पिलेला मध्यवर्ती हॉप कधीही घेणार नाही. आकृती हेतू दाखवते आणि मार्ग सारणी काय घडते ते दाखवते.

चित्राने नाही, मार्ग शोधाने पडताळा. पॅकेट ज्या इंटरफेसने बाहेर पडतो आणि तो निवडणारा पुढील हॉप हे दुसरा आकार रचनेनुसार चालतो का हे ठरवतात.

ip route get 10.30.7.20
sudo iptables -S FORWARD
sudo tcpdump -ni inside0 host 10.30.7.20

टोपोलॉजी अलगीकरणापासून वेगळी करा

सबनेट सामायिक करणे ठिकाण अविश्वसनीय करत नाही आणि समर्पित ट्रान्झिट त्याला संरक्षित करत नाही. जे ठरवते ते म्हणजे प्रत्यक्ष लागू मर्यादा, प्रत्यक्ष होणारे अग्रेषण आणि प्रत्येक भाग कोण व्यवस्थापित करते. स्विच मोजणे या तिन्हींपैकी कशाबद्दलही काही सांगत नाही. धोरण आणि मार्गावरून ठरवा, मग टोपोलॉजीने तो निर्णय पाळावा.

रहदारी-गटही वेगळे हाताळा. दूरस्थ प्रवेश तलाव, साइट-ते-साइट उपसर्ग आणि खाजगी लाइन जाळी एकच उपकरण सामायिक करूनही वेगळे नियम मागू शकतात, कारण त्यांची ओळख आणि जोखीम वेगळी आहे. एका गटासाठी लिहिलेला नियम पत्ता आराखडा सामायिक असल्यास इतरांना शांतपणे झाकतो.

प्रत्येक स्थानासाठी अपयश आणि व्यवस्थापन तपासा

प्रत्येक स्थानाला अपयशाची पद्धत असते आणि उपयुक्त प्रश्न असा की घटक थांबल्यावर काय अजून चालते. एका मृत उपकरणावर अनेक तार्किक इंटरफेस स्वतंत्र पुनर्प्राप्ती देत नाहीत आणि समान वीज किंवा समान प्रशासक सामायिक करणारा खालील फायरवॉल दुसरी सीमा नाही. व्यवस्थापन मार्ग कुठून जातो विचारा, कारण फक्त बोगद्यातून पोहोचणारा कन्सोल कोणताही पुनर्प्राप्ती मार्ग नाही; ssh [email protected] true बोगद्याबाहेरून चालवणे हे कन्सोल त्यावर अवलंबून नाही हे सिद्ध करण्याचा स्वस्तातला मार्ग. एका प्लॅटफॉर्मचे गट-धोरण दस्तऐवज त्याची गाळणी डिक्रिप्शननंतर आणि एन्क्रिप्शनपूर्वीच्या रहदारीवर ठेवते, जो कोणत्याही उत्पादनात शोधावा असा नामांकित हुक आहे.

प्रत्येक उमेदवाराची अपयशकथा अंमलबजावणीच्या कथेजवळ लिहा. तपासणीत जिंकणारे आणि पुनर्प्राप्तीत हरणारे स्थान ही देवघेव आहे आणि ते घटनेदरम्यान शोधण्याऐवजी तसे नोंदवले पाहिजे.

अनुमत आणि नाकारलेल्या प्रवाहाने स्वीकारा

मंजूर चाचणी आराखड्यासह खऱ्या VPN स्रोताकडून तीन गोष्टी तपासा: चालायला हवे असे अनुप्रयोग, चालू नये असे संसाधन आणि उत्तर ज्या दिशेने परत येते ती दिशा. नकार हा धोरण सक्रिय असल्याचा पुरावा, तर अनुमत प्रवाह फक्त मार्ग अस्तित्वात असल्याचे दाखवतो.

निवडलेला मार्ग आणि धोरणाचा निकाल एकत्र ठेवा, कारण मार्गाशिवाय निकाल पुनरुत्पादित होत नाही आणि निकालाशिवाय मार्गाचा बचाव होत नाही. ही जोडी कोणता स्विचिंग स्तर मुळात सुरक्षित आहे या कोणत्याही दाव्यापेक्षा जोडणी बिंदू निवडण्यासाठी जास्त उपयुक्त आहे.