Traffiku tal-klijent VPN u stat tal-firewall: fluss ta’ barra u ta’ ġewwa

Il-handshake tal-VPN jitlesta, il-klijent jieħu indirizz, u servizz wara l-gateway xorta jirrifjuta l-konnessjoni. Il-firewall spiss jagħmel eżattament dak li ngħata struzzjoni. Huwa ppermetta l-fluss tat-tunnel ta’ barra, li huwa pakkett differenti mill-konnessjoni tal-applikazzjoni dekapsulata. Is-servu żewġ deċiżjonijiet: liema fluss qed tippermetti, u jekk il-fruntiera ssegwix l-istat xejn.

Sakemm tifred it-tnejn, kull bidla fir-regola hija stima.

Il-firewall jara żewġ pakketti differenti

Qabel id-dekapsulazzjoni, il-firewall jara traffiku indirizzat lejn il-punt tat-tmiem VPN: fluss UDP ta’ barra lejn is-semmiegħ. Wara d-dekapsulazzjoni, pakkett mgħoddi jġorr l-indirizz ta’ ġewwa tal-klijent u d-destinazzjoni tas-servizz.

Permess għall-fluss ta’ barra ma jawtorizzax il-konnessjoni TCP mgħoddija. Jistgħu jiġu evalwati f’katini differenti, quddiem interfaces differenti, u b’indirizzi differenti wara t-traduzzjoni.

Qabbel qabdiet minn pożizzjonijiet ekwivalenti fuq iż-żewġ naħat. Qabda fit-tarf tat-tunnel u qabda fis-server juru tuples differenti għall-istess sessjoni.

L-ewwel deċiżjoni: tippermetti t-tunnel jew is-servizz

Jekk il-klijent għandu bżonn biss il-punt tat-tmiem VPN innifsu, il-permess ta’ barra jista’ jkun biżżejjed. Jekk għandu bżonn servizz lil hinn mill-gateway, hemm bżonn permess ta’ għoti għal dik id-destinazzjoni u dak il-port. Regola tat-tunnel li tippermetti wkoll is-servizz hija għażla tad-disinn li għandek issemmi, mhux inċident.

Żomm il-firxa tal-klijent u l-ambitu tas-servizz dejqin. Permess mis-subnet tat-tunnel għall-LAN kollha hija deċiżjoni li tafda kull host, mhux short-cut għal applikazzjoni waħda.

Ikteb iż-żewġ regoli separatament. Ir-regola tat-tunnel u r-regola tas-servizz ifallu b’modi differenti u jiġu debugjati bi provi differenti. Meta waħda tfalli, taf liema saff tiċċekkja l-ewwel.

It-tieni deċiżjoni: bl-istat jew mingħajru f’kull fruntiera

Regola għal fluss stabbilit tista’ tħalli tweġibiet għal skambju permess, iżda l-imġiba tagħha tiddependi mill-prodott. Grupp tas-sigurtà fil-cloud normalment issegwi l-istat; lista ta’ kontroll tal-aċċess tas-subnet spiss ma ssegwix l-istat u teħtieġ immaniġġjar espliċitu fiż-żewġ direzzjonijiet. Tassumix li kull fruntiera fit-triq tittratta l-istat bl-istess mod. Elenka kull fruntiera u mmarkaha bl-istat jew mingħajru qabel tiddisinja r-regoli.

Jekk regola tinbidel, flussi segwiti eżistenti jistgħu jibqgħu jaħdmu filwaqt li dawk ġodda jfallu, jew bil-maqlub. Dik id-differenza hija ħjiel utli, mhux raġuni biex tbattal l-istat kollu tal-konnessjonijiet fuq gateway attiv.

Ittestja b’talba ġdida u kkontrollata u ispezzjona l-counters rilevanti. Test nadif huwa aħjar minn reset li jfixkel. Innota l-isem tal-counter fir-rekord tal-bidla sabiex it-test li jmiss juża l-istess prova.

Ivverifika t-triq tar-ritorn taħt l-istess politika

Ibgħat talba ġdida mill-klijent lis-servizz, imbagħad iċċekkja l-counters ’il quddiem u lura f’kull fruntiera. Ikkonferma li t-tweġiba tuża t-triq li tistenna, speċjalment jekk hija involuta traduzzjoni.

Żomm il-firxa tal-klijent maħsuba u l-ambitu tas-servizz dejqin, u vverifika t-triq tar-ritorn taħt l-istess sett ta’ regoli li ppermetta t-talba. Regola li taħdem biss għax fluss qadim għadu miftuħ mhijiex regola li taħdem.