Trafik klien VPN dan keadaan firewall: aliran luar dan dalam

Jabat tangan VPN selesai, klien mendapat alamat, dan perkhidmatan di belakang gateway masih enggan menerima sambungan. Firewall selalunya melakukan tepat apa yang diberitahu. Ia membenarkan aliran terowong luar, yang merupakan paket berbeza daripada sambungan aplikasi yang dinyahsulit. Dua keputusan menyusul: aliran mana yang anda benarkan, dan sama ada sempadan itu menjejak keadaan sama sekali.

Sehingga anda memisahkan kedua-duanya, setiap perubahan peraturan ialah tekaan.

Firewall melihat dua paket berbeza

Sebelum penyahsulitan, firewall melihat trafik yang dialamatkan ke titik akhir VPN: aliran UDP luar ke pendengar. Selepas penyahsulitan, paket yang dipajukan membawa alamat dalaman klien dan destinasi perkhidmatan.

Kebenaran untuk aliran luar tidak memberi kuasa kepada sambungan TCP yang dipajukan. Kedua-duanya boleh dinilai dalam rantaian berbeza, terhadap antara muka berbeza, dan dengan alamat berbeza selepas terjemahan.

Bandingkan tangkapan dari kedudukan setara di kedua-dua belah. Tangkapan di tepi terowong dan tangkapan di pelayan menunjukkan tuple berbeza untuk sesi yang sama.

Keputusan pertama: benarkan terowong atau perkhidmatan

Jika klien hanya memerlukan titik akhir VPN itu sendiri, kebenaran luar mungkin mencukupi. Jika ia memerlukan perkhidmatan di seberang gateway, anda memerlukan kebenaran pemajuan untuk destinasi dan port itu. Peraturan terowong yang juga membenarkan perkhidmatan ialah pilihan reka bentuk yang patut anda namakan, bukan kemalangan.

Kekalkan julat klien dan skop perkhidmatan sempit. Kebenaran dari subnet terowong ke seluruh LAN ialah keputusan mempercayai setiap hos, bukan jalan pintas untuk satu aplikasi.

Tulis kedua-dua peraturan secara berasingan. Peraturan terowong dan peraturan perkhidmatan gagal dengan cara berbeza dan dinyahpepijat dengan bukti berbeza. Apabila satu gagal, anda tahu lapisan mana untuk diperiksa dahulu.

Keputusan kedua: dengan keadaan atau tanpa keadaan di setiap sempadan

Peraturan aliran mantap boleh menerima balasan untuk pertukaran yang dibenarkan, tetapi tingkah lakunya bergantung pada produk. Kumpulan keselamatan awan biasanya menjejak keadaan; senarai kawalan akses subnet selalunya tidak menjejak keadaan dan memerlukan pengendalian eksplisit dalam kedua-dua arah. Jangan andaikan setiap sempadan di laluan melayan keadaan dengan cara sama. Senaraikan setiap sempadan dan tandakannya dengan atau tanpa keadaan sebelum anda mereka bentuk peraturan.

Jika peraturan berubah, aliran yang dijejak sedia ada mungkin terus berfungsi manakala yang baharu gagal, atau sebaliknya. Perbezaan itu petunjuk berguna, bukan alasan untuk mengosongkan seluruh keadaan sambungan pada gateway yang aktif.

Uji dengan permintaan baharu yang terkawal dan periksa pembilang yang berkaitan. Ujian bersih lebih baik daripada tetapan semula yang mengganggu. Catat nama pembilang dalam rekod perubahan supaya ujian seterusnya menggunakan bukti yang sama.

Sahkan laluan balik di bawah dasar yang sama

Hantar permintaan baharu daripada klien ke perkhidmatan, kemudian periksa pembilang ke hadapan dan balik di setiap sempadan. Sahkan balasan menggunakan laluan yang anda jangkakan, terutamanya jika terjemahan terlibat.

Kekalkan julat klien yang dimaksudkan dan skop perkhidmatan sempit, dan sahkan laluan balik di bawah set peraturan yang sama yang membenarkan permintaan itu. Peraturan yang hanya berfungsi kerana aliran lama masih terbuka bukan peraturan yang berfungsi.