VPN minn sit għal sit jaħdem b'ġenb wieħed biss: żewġ ħsarat differenti

Is-sit A jasal għand B, B ma jistax jasal għand A, u l-mina tidher tajba fiż-żewġ direzzjonijiet. Qabel ma tmiss il-mina, iddeċiedi liema ħsara fil-fatt għandek. Konnessjoni ġdida mibdija fi B li tiġi rifjutata, u tweġiba għal konnessjoni mibdija f'A li qatt ma tasal, jipproduċu lmenti simili u dijanjosi kompletament differenti. Waħda hija problema ta' politika jew rotta fit-triq; l-oħra hija problema ta' triq tar-ritorn jew stat għal traffiku li kien diġà permess.

Dan id-distinzjoni jiddeċiedi liema kmandi jiswew li jiġu esegwiti.

Żewġ ħsarat li jidhru identiċi

Fl-ewwel każ il-host ta' B jibgħat SYN lil A, u xejn ma jerġa' lura. Fit-tieni l-host ta' A jiftaħ sessjoni b'suċċess u t-tweġiba tispiċċa fit-triq tar-ritorn. Iż-żewġ utenti jgħidu li l-konnessjoni hija f'ġenb wieħed, u t-tnejn jiddeskrivu pakkett li spiċċa, għalhekk id-deskrizzjoni waħedha ma tistax tifridhom.

Staqsi liema naħa bdiet l-attentat li falla. Dan il-fatt wieħed ineħħi nofs il-kawżi possibbli.

Imbagħad ivverifika li t-test uża l-istess hosts u l-istess servizz matul il-ħin kollu. Ping minn naħa u konnessjoni ta' kondiviżjoni tal-fajls min-naħa l-oħra jittestjaw żewġ affarijiet differenti, u dijanjostika mill-gateway tista' tagħżel indirizz tal-mina li l-ebda traffiku tal-utent ma jużah.

L-ewwel każ: it-triq tar-ritorn hija nieqsa

Server remot li jwieġeb minn gateway predefinit differenti jista' jirċievi t-talba u jrotta t-tweġiba x'imkien ieħor. Imbagħad il-ħitan tan-nar li jsegwu l-istat jarmu t-tweġiba asimmetrika għax ma taqbilx ma' fluss stabbilit, li jidher eżattament bħal direzzjoni li qatt ma ħadmet. It-traduzzjoni żżid verżjoni oħra: id-destinazzjoni tara sors tradott u twieġeb lilu, għalhekk regola miktuba għall-indirizz oriġinali qatt ma taqbel.

Ivverifika l-indirizz li d-destinazzjoni fil-fatt tosserva wara t-traduzzjoni, u r-rotta tar-ritorn għal dak l-indirizz minflok għas-subnet oriġinali.

It-tieni każ: il-politika qatt ma ppermettietu

Il-każ oppost huwa aktar sempliċi u aktar komuni milli jidher: uffiċċju wieħed għandu jikkonsma servizz ċentrali u qatt ma jibda konnessjonijiet lejn iċ-ċentru. Din l-asimmetrija hija deċiżjoni ta' aċċess deliberata, u l-mina taħdem kif iddisinjata. Aqra l-politika tal-aċċess qabel ma tibdel kwalunkwe setting tal-mina. Id-dokument, mhux il-qbid tal-pakketti, jgħid liema direzzjoni kienet maħsuba. Qbid jista' juri biss x'ġara, mhux x'kien awtorizzat.

Jekk il-bidu f'żewġ direzzjonijiet huwa verament meħtieġ, żid il-permess tas-servizz speċifiku permezz tas-sett ta' regoli appoġġjat mill-pjattaforma. Li tagħmel kull subnet reċiprokament affidabbli biex tissewwa applikazzjoni waħda jbiddel rekwiżit dejjaq f'permess wiesa', u dan l-iskambju rari jiġi rivedut wara.

Qabbel qabel u wara fuq l-istess hosts

Osserva ż-żewġt trufijiet tal-istess attentat, mhux żewġ attentati separati. Aqbad fuq il-gateway tal-host li jibda u fuq id-destinazzjoni, imbagħad qabbel x'daħal, x'ħareġ u liema indirizz ra n-naħa 'l bogħod.

tcpdump -ni any host 10.20.30.40 and port 445
conntrack -L | grep 10.20.30.40
ip route get 10.20.30.40
swanctl --list-sas

Jekk il-qbid fid-destinazzjoni juri t-talba b'indirizz tas-sors mhux mistenni, it-tweġiba tinsab fit-traduzzjoni jew fir-rooting, mhux fil-politika tas-sigurtà tal-mina. Jekk id-destinazzjoni ma turi l-ebda talba, il-pakkett qatt ma qasam it-triq protetta.

Wara korrezzjoni, erġa' wettaq l-istess test mill-istess host u kkonferma li l-aċċess mhux relatat għadu miċħud. Stat tal-mina “established” waħdu ma jsostni l-ebda waħda miż-żewġ konklużjonijiet.