VPN-klienttrafikk og brannmurstatus: ytre og indre flyt

VPN-handtrykket blir fullført, klienten får ein adresse, og ein teneste bak gatewayen avviser framleis forbindinga. Brannmuren gjer ofte nøyaktig det han har fått beskjed om. Han slapp gjennom den ytre tunnelstraumen, som er ein annan pakke enn den avkapsla applikasjonsforbindinga. To avgjerder følgjer: kva straum du lèt gjennom, og om grensa i det heile følgjer tilstand.

Til du skil dei to, er kvar regelendring eit gjetting.

Brannmuren ser to ulike pakkar

Før avkapsling ser brannmuren trafikk adressert til VPN-endepunktet: ein ytre UDP-straum til lyttaren. Etter avkapsling ber ein vidaresend pakke den indre adressa til klienten og målet for tenesta.

Ei løyve for den ytre straumen autoriserer ikkje den vidaresende TCP-forbindinga. Dei kan vurderast i ulike kjeder, mot ulike grensesnitt og med ulike adresser etter omsetjing.

Samanlikn opptak frå tilsvarande posisjonar på begge sider. Eit opptak ved tunnelkanten og eit opptak på tenaren viser ulike tuplar for same økta.

Første avgjerd: sleppe gjennom tunnelen eller tenesta

Viss klienten berre treng sjølve VPN-endepunktet, kan den ytre løyva vere nok. Viss han treng ei teneste bak gatewayen, treng du ei vidaresendingløyve for det målet og den porten. Ein tunnelregel som òg lèt tenesta gjennom, er eit designval du bør namngje, ikkje eit uhell.

Hald klientområdet og omfanget av tenesta smalt. Ei løyve frå tunnelsubnettet til heile LAN-et er eit vedtak om å stole på kvar vert, ikkje ein snareveg for éin applikasjon.

Skriv begge reglane ned kvar for seg. Tunnelregelen og tenesteregelen sviktar på ulike måtar og blir feilsøkte med ulike bevis. Når éin sviktar, veit du kva lag du skal undersøkje først.

Andre avgjerd: med eller utan tilstand ved kvar grense

Ein regel for etablert flyt kan sleppe gjennom svar for ein tillaten utveksling, men åtferda hans avheng av produktet. Ei skybasert tryggingsgruppe følgjer vanlegvis tilstand; ei subnett-ACL følgjer ofte ikkje tilstand og krev eksplisitt handsaming i begge retningar. Ikkje gå ut frå at kvar grense på vegen handsamar tilstand likt. List opp kvar grense og merk ho med eller utan tilstand før du designar reglane.

Viss ein regel blir endra, kan eksisterande spora straumar halde fram med å verke medan nye sviktar, eller omvendt. Den skilnaden er eit nyttig spor, ikkje ei grunn til å tømme all tilkoplingstilstand på ein aktiv gateway.

Test med ein fersk kontrollert førespurnad og inspiser dei relevante teljarane. Ein rein test slår ein forstyrrande tilbakestilling. Noter namnet på teljaren i endringsloggen slik at neste test brukar same bevis.

Stadfest returvegen under same policy

Send ein ny førespurnad frå klienten til tenesta, og kontroller deretter fram- og returteljarane ved kvar grense. Stadfest at svaret brukar vegen du ventar, særleg viss omsetjing er involvert.

Hald det tiltenkte klientområdet og omfanget av tenesta smalt, og stadfest returvegen under det same regelsettet som slapp førespurnaden gjennom. Ein regel som berre verkar fordi ein gammal straum framleis er open, er ikkje ein fungerande regel.