VPN minn sit għal sit: liema direzzjoni tassew teħtieġ regola?

Iż-żewġt iċ-ċniedel jirrappurtaw tunnel stabbilit, il-fergħa mbiegħda twieġeb mill-gateway, u l-applikazzjoni xorta tispiċċa fi timeout għall-utenti fuq naħa waħda. Il-parir tas-soltu jgħid biex iżżid regola tal-firewall fiż-żewġ direzzjonijiet. Xi drabi dan huwa tajjeb, xi drabi jiddupplika regola li diġà teżisti, u xi drabi t-tieni regola hija dik li tkisser il-kundizzjoni. Liema każ japplika jiddependi minn fejn il-firewall jara l-pakkett.

It-traffiku tar-ritorn b'kundizzjoni jbiddel l-għadd

Firewall b'kundizzjoni jirrekordja t-talba u jdaħħal it-tweġiba mingħajr tieni regola, għalhekk disinn li jeħtieġ regola waħda biss huwa normali. Lista tal-aċċess mingħajr kundizzjoni m'għandhiex tali memorja, u t-tweġiba trid tkun permessa b'mod espliċitu. It-tnejn huma korretti fuq il-pjattaforma tagħhom stess, u għalhekk il-pariri jaqblux.

Aqra d-dokumentazzjoni tal-ibgħat għall-pjattaforma li għandek quddiemek, u verifika jekk il-politika li qed teditja hijiex b'kundizzjoni fejn tara l-pakkett. Ċaħda espliċita għat-traffiku stabbilit, jew ordni ta' regoli li tivvaluta t-tweġiba qabel it-tabella tal-kundizzjonijiet, tibdel disinn li jaħdem f'wieħed moħġoq. L-għadd ta' regoli huwa dettall tal-implimentazzjoni, filwaqt li r-rekwiżit huwa li ż-żewġ direzzjonijiet ta' konverżazzjoni permessa jistgħu jitlestew.

Fejn il-firewall jara pakketti deċifrati

F'tunnel ibbażat fuq il-politika, il-firewall jista' jivvaluta l-pakkett ċifrat qabel id-deċifrar u l-pakkett deċifrat wara, fuq interfaces differenti. Regola miktuba għall-interface żbaljata tkun preżenti, korretta u qatt ma taqbel. Hekk sett ta' regoli kkupjat minn implimentazzjoni li taħdem jista' jfalli fuq hardware identiku.

IPsec ibbażat fuq ir-rotta u l-biċċa l-kbira tal-implimentazzjonijiet moderni jippreżentaw interface tat-tunnel, għalhekk il-pakkett deċifrat jasal hemm u japplikaw regoli normali tal-interface. Ikkonferma liema mudell juża l-implimentazzjoni qabel ma tikkupja sett ta' regoli minn gwida miktuba għall-ieħor. L-interface tat-tunnel hija wkoll il-post fejn tħares meta jkollok bżonn tkun taf jekk pakkett ġiex deċifrat xejn.

Ir-routing asimmetriku jkisser is-suppożizzjoni

Firewall b'kundizzjoni jassumi li jara ż-żewġ nofsijiet tal-konverżazzjoni. Jekk it-tweġiba terga' lura minn gateway ieħor, dak l-apparat ma jżommx kundizzjoni għat-talba u jwarrabha skont il-politika tiegħu. Is-sintomu huwa falliment f'direzzjoni waħda li ebda regola fuq in-naħa li tibgħat ma tista' ssewwi. Segwi t-triq tat-tweġiba qabel ma teditja xejn.

Iċċekkja r-rotta tat-tweġiba qabel ma żżid regola wiesgħa ta' permess fuq iż-żewġ naħat. It-tolleranza ta' kollox fuq kull interface taħbi l-iżball tar-routing u ttawwal l-aċċess fl-istess ħin, li hija l-agħar kombinazzjoni disponibbli.

Iċċekkja ż-żewġ direzzjonijiet b'indirizzi tas-sors reali

Ittestja bl-indirizz li n-naħa mbiegħda tara tassew, għax it-traduzzjoni tista' tagħmel regola tas-sors ma taqbel ma' xejn. Mexxi l-qbid fuq iż-żewġ gateways fl-istess ħin.

tcpdump -ni any 'host 10.30.8.15 and tcp port 443'
nft list ruleset | grep -A 8 'chain forward'
ip route get 10.30.8.15
conntrack -L | grep 10.30.8.15

Talba li tidher fuq il-gateway imbiegħed b'indirizz tas-sors mhux mistenni tispjega regola li qatt ma taqbel, u tweġiba li tasal fuq l-interface żbaljata tispjega nuqqas ta' qbil fil-kundizzjoni. Imbagħad ittestja destinazzjoni waħda fl-ambitu approvat u waħda barra minnu, sabiex il-limitu jintwera minflok ma jiġi assunt.

Irreġistra l-indirizz tas-sors wara t-traduzzjoni, l-interface li uża l-pakkett deċifrat, u r-regola li qabblet. Dawn it-tliet fatti jwieġbu l-biljett li jmiss mingħajr ma jerġgħu jagħmlu l-investigazzjoni kollha.