VPN tapak-ke-tapak: arah mana yang benar-benar perlukan peraturan?

Kedua-dua hujung melaporkan terowong yang terbentuk, cawangan jauh menjawab dari gateway, dan aplikasi masih tamat masa untuk pengguna di satu sisi. Nasihat biasa ialah menambah peraturan firewall dalam kedua-dua arah. Kadang-kadang itu betul, kadang-kadang ia menduplikasi peraturan yang sudah wujud, dan kadang-kadang peraturan kedua itulah yang merosakkan keadaan. Kes mana yang terpakai bergantung pada tempat firewall melihat paket itu.

Trafik balasan stateful mengubah bilangan

Firewall stateful merekodkan permintaan dan membenarkan balasan tanpa peraturan kedua, jadi reka bentuk yang hanya perlukan satu peraturan adalah normal. Senarai akses tanpa keadaan tidak mempunyai ingatan sedemikian, dan balasan mesti dibenarkan secara eksplisit. Kedua-duanya betul pada platformnya sendiri, sebab itulah nasihatnya bercanggah.

Baca dokumentasi penghantaran untuk platform di hadapan anda, dan semak sama ada dasar yang anda sunting bersifat stateful di tempat ia melihat paket. Penafian eksplisit untuk trafik yang terbentuk, atau susunan peraturan yang menilai balasan sebelum jadual keadaan, menjadikan reka bentuk yang berfungsi itu membingungkan. Bilangan peraturan ialah perincian pelaksanaan, manakala keperluannya ialah kedua-dua arah perbualan yang dibenarkan dapat diselesaikan.

Di mana firewall melihat paket yang dinyahsulit

Dalam terowong berasaskan dasar, firewall boleh menilai paket yang disulitkan sebelum penyahsulitan dan paket yang dinyahsulit selepasnya, pada antara muka yang berbeza. Peraturan yang ditulis untuk antara muka yang salah hadir, betul dan tidak pernah sepadan. Begitulah set peraturan yang disalin daripada penggunaan yang berfungsi boleh gagal pada perkakasan yang sama.

IPsec berasaskan laluan dan kebanyakan pelaksanaan moden menyediakan antara muka terowong, jadi paket yang dinyahsulit tiba di sana dan peraturan antara muka biasa terpakai. Sahkan model mana yang digunakan oleh penggunaan sebelum menyalin set peraturan daripada panduan yang ditulis untuk yang satu lagi. Antara muka terowong juga tempat untuk dilihat apabila anda perlu tahu sama ada paket itu dinyahsulit sama sekali.

Penghalaan asimetri mematahkan andaian

Firewall stateful mengandaikan ia melihat kedua-dua separuh perbualan. Jika balasan kembali melalui gateway lain, peranti itu tidak menyimpan keadaan untuk permintaan dan menggugurkannya mengikut dasarnya sendiri. Gejalanya ialah kegagalan satu hala yang tidak dapat dibaiki oleh mana-mana peraturan di sisi penghantar. Jejaki laluan balasan sebelum menyunting apa-apa.

Semak laluan balasan sebelum menambah peraturan kebenaran yang luas pada kedua-dua sisi. Bertoleransi segala-galanya pada setiap antara muka menyembunyikan kesilapan penghalaan dan melebarkan akses pada masa yang sama, iaitu gabungan terburuk yang tersedia.

Semak kedua-dua arah dengan alamat sumber sebenar

Uji dengan alamat yang benar-benar dilihat oleh sisi jauh, kerana penterjemahan boleh menyebabkan peraturan sumber tidak sepadan dengan apa-apa. Jalankan tangkapan pada kedua-dua gateway serentak.

tcpdump -ni any 'host 10.30.8.15 and tcp port 443'
nft list ruleset | grep -A 8 'chain forward'
ip route get 10.30.8.15
conntrack -L | grep 10.30.8.15

Permintaan yang muncul di gateway jauh dengan alamat sumber tidak dijangka menjelaskan peraturan yang tidak pernah sepadan, dan balasan yang tiba pada antara muka yang salah menjelaskan ketidakpadanan keadaan. Kemudian uji satu destinasi dalam skop yang diluluskan dan satu di luarnya, supaya sempadan ditunjukkan dan bukan diandaikan.

Catat alamat sumber selepas penterjemahan, antara muka yang digunakan oleh paket yang dinyahsulit, dan peraturan yang sepadan. Ketiga-tiga fakta itu menjawab tiket seterusnya tanpa mengulangi seluruh siasatan.