ਤੁਹਾਡੀ ਸਾਈਟ ਦਾ VPN ਕਿੱਥੇ ਖ਼ਤਮ ਹੁੰਦਾ ਹੈ ਇਹ ਤੈਅ ਕਰਦਾ ਹੈ ਕਿ ਕੀ ਜਾਂਚਿਆ ਜਾਵੇਗਾ

ਸਾਈਟਾਂ ਵਿਚਕਾਰ ਸੁਰੰਗ ਇੱਕ ਅਜਿਹੀ ਬਾਰੀਕੀ ਲੁਕਾਉਂਦੀ ਹੈ ਜੋ ਪੂਰੇ ਨਿਰੀਖਣ ਡਿਜ਼ਾਈਨ ਨੂੰ ਤੈਅ ਕਰਦੀ ਹੈ: ਉਹੀ ਯੰਤਰ ਜਿਸ ਉੱਤੇ ਅੰਦਰਲਾ ਪੈਕਟ ਸਾਫ਼ ਪਾਠ ਵਿੱਚ ਦਿਖਾਈ ਦਿੰਦਾ ਹੈ। ਉਸ ਬਿੰਦੂ ਤੋਂ ਪਹਿਲਾਂ ਸਭ ਕੁਝ ESP ਦੇਖਦਾ ਹੈ, ਅਤੇ ਉਸ ਤੋਂ ਬਾਅਦ ਸਭ ਕੁਝ ਆਮ IP ਦੇਖਦਾ ਹੈ ਜਿਸ ਨੂੰ ਕੋਈ ਨਿਯਮ ਫੜ ਸਕਦਾ ਹੈ। ਸੀਮਾ ਗ਼ਲਤ ਥਾਂ ਰੱਖੋ ਅਤੇ ਜਿਸ ਫਾਇਰਵਾਲ ਲਈ ਤੁਸੀਂ ਪੈਸੇ ਦਿੱਤੇ ਉਹ ਲਾਇਸੈਂਸ ਵਾਲਾ ਰਾਊਟਰ ਬਣ ਜਾਂਦੀ ਹੈ। ਹੇਠਾਂ ਦਿੱਤੀ ਮਾਰਗਦਰਸ਼ਨ ਪਹਿਲਾਂ ਲਕੀਰ ਖਿੱਚਦੀ ਹੈ ਅਤੇ ਫਿਰ ਹੀ ਪੁੱਛਦੀ ਹੈ ਕਿ ਕਿਹੜਾ ਯੰਤਰ ਇਸ ਦਾ ਮਾਲਕ ਹੋਣਾ ਚਾਹੀਦਾ ਹੈ।

ਲਕੀਰ ਉੱਥੇ ਖਿੱਚੋ ਜਿੱਥੇ ਪੈਕਟ ਹੁਣ ਇਨਕ੍ਰਿਪਟਿਡ ਨਹੀਂ ਰਹਿੰਦਾ

ਟਨਲ ਮੋਡ ਵਿੱਚ ਮੂਲ ਪੈਕਟ ਇਨਕ੍ਰਿਪਟ ਹੁੰਦਾ ਹੈ ਅਤੇ ਸਹਿਕਰਮੀ ਗੇਟਵੇ ਨੂੰ ਸੰਬੋਧਿਤ ਨਵੇਂ ਬਾਹਰੀ IP ਹੈਡਰ ਵਿੱਚ ਲਪੇਟਿਆ ਜਾਂਦਾ ਹੈ। ਉਹ ਬਾਹਰੀ ਪੈਕਟ ESP ਲਈ ਪ੍ਰੋਟੋਕੋਲ 50 ਲੈ ਕੇ ਜਾਂਦਾ ਹੈ, ਇਸ ਲਈ ਦੋਵਾਂ ਗੇਟਵੇ ਵਿਚਕਾਰ ਕੋਈ ਵੀ ਯੰਤਰ ਅੰਦਰਲੇ ਪਤੇ ਪੜ੍ਹੇ ਬਿਨਾਂ ਇਸ ਨੂੰ ਰਾਊਟ ਕਰ ਸਕਦਾ ਹੈ। ਪਹਿਲਾ ਯੰਤਰ ਜੋ ਡਿਕ੍ਰਿਪਟ ਕਰਦਾ ਹੈ ਉਹੀ ਸੁਰੱਖਿਆ ਸੀਮਾ ਹੈ, ਅਤੇ ਉਹੀ ਪਹਿਲਾ ਯੰਤਰ ਹੈ ਜੋ ਅੰਦਰਲੇ ਪ੍ਰਵਾਹ ਉੱਤੇ ਨੀਤੀ ਲਾਗੂ ਕਰ ਸਕਦਾ ਹੈ। ਉਸ ਬਿੰਦੂ ਤੋਂ ਹੇਠਾਂ ਸਭ ਕੁਝ ਆਮ ਰਾਊਟਿੰਗ ਹੈ।

ਚਿੱਤਰ ਉੱਤੇ ਤਿੰਨ ਚੀਜ਼ਾਂ ਨਿਸ਼ਾਨ ਲਗਾਓ: ESP ਸਵੀਕਾਰ ਕਰਨ ਵਾਲਾ ਬਾਹਰੀ ਅੰਤਿਮ ਬਿੰਦੂ, ਨੀਤੀ ਵਿੱਚ ਨਾਮਿਤ ਸੁਰੱਖਿਅਤ ਨੈੱਟਵਰਕ, ਅਤੇ ਅਗਲੀ ਛਾਲ ਜੋ ਡਿਕ੍ਰਿਪਟ ਹੋਇਆ ਪੈਕਟ ਲੈਂਦਾ ਹੈ। ਜੇ ਇਹ ਤਿੰਨ ਇੱਕੋ ਯੰਤਰ ਉੱਤੇ ਨਾ ਹੋਣ ਤਾਂ ਤੁਹਾਡੇ ਕੋਲ ਡਿਜ਼ਾਈਨ ਕਰਨ ਯੋਗ ਹੈਂਡਓਫ਼ ਹੈ, ਇੱਕੋ ਨਿਯੰਤਰਣ ਬਿੰਦੂ ਨਹੀਂ।

RFC 4301 ਡਿਕ੍ਰਿਪਟ ਕਰਨ ਵਾਲੇ ਯੰਤਰ ਨੂੰ ਸੁਰੱਖਿਆ ਗੇਟਵੇ ਕਹਿੰਦਾ ਹੈ ਅਤੇ ਇਸ ਦੀ ਨੀਤੀ ਨੂੰ ਸੀਮਾ ਦਾ ਹਿੱਸਾ ਮੰਨਦਾ ਹੈ। ਇਹ ਉਤਪਾਦ ਸ਼੍ਰੇਣੀ ਨਾਲੋਂ ਵਧੇਰੇ ਲਾਹੇਵੰਦ ਢਾਂਚਾ ਹੈ, ਕਿਉਂਕਿ ਯੰਤਰ ਤਦ ਸੀਮਾ ਹੁੰਦਾ ਹੈ ਜਦੋਂ ਇਹ ਨੀਤੀ ਰੱਖਦਾ ਹੈ, ਤਦ ਨਹੀਂ ਜਦੋਂ ਇਸ ਦੀ ਡੇਟਾ ਸ਼ੀਟ ਫਾਇਰਵਾਲ ਕਹਿੰਦੀ ਹੈ।

ਫਾਇਰਵਾਲ ਸਮਾਪਤੀ ਵਜੋਂ: ਇੱਕ ਯੰਤਰ, ਇੱਕ ਨੀਤੀ ਬਿੰਦੂ

ਜਦੋਂ ਫਾਇਰਵਾਲ ਸੁਰੰਗ ਖ਼ਤਮ ਕਰਦੀ ਹੈ, ਉੱਪਰਲੇ ਰਾਊਟਰ ਨੇ ਇਸ ਨੂੰ ਸਿਰਫ਼ ESP ਪਹੁੰਚਾਉਣਾ ਹੁੰਦਾ ਹੈ। ਫਾਇਰਵਾਲ ਸਹਿਕਰਮੀ ਦੀ ਪ੍ਰਮਾਣਿਕਤਾ ਜਾਂਚਦੀ ਹੈ, ਡਿਕ੍ਰਿਪਟ ਕਰਦੀ ਹੈ ਅਤੇ ਫਿਰ ਸਰਵਰ VLAN ਵੱਲ ਜਾਂਦੇ ਹੋਏ ਅੰਦਰਲੇ ਪੈਕਟ ਉੱਤੇ ਆਪਣੇ ਆਮ ਨਿਯਮ ਲਾਗੂ ਕਰਦੀ ਹੈ। ਇਸ ਨਾਲ ਨੀਤੀ ਪੜ੍ਹਨ ਦੀ ਇੱਕ ਥਾਂ ਅਤੇ ਲੌਗ ਪੜ੍ਹਨ ਦੀ ਇੱਕ ਥਾਂ ਬਣਦੀ ਹੈ, ਜੋ ਆਮ ਤੌਰ 'ਤੇ ਆਡਿਟ ਮੰਗਦਾ ਹੈ।

ਦੋਵੇਂ ਇਜਾਜ਼ਤਾਂ ਵੱਖਰੀਆਂ ਜਾਂਚੋ। ਯੰਤਰ ਵੱਲ IKE ਅਤੇ ESP ਦੀ ਇਜਾਜ਼ਤ ਦੇਣਾ ਉਹੀ ਨਿਯਮ ਨਹੀਂ ਜੋ ਦੂਰਸਥ ਸਾਈਟ ਨੂੰ ਸਰਵਰ ਤੱਕ ਪਹੁੰਚਣ ਦੀ ਇਜਾਜ਼ਤ ਦੇਣਾ ਹੈ, ਅਤੇ ਜੋ ਫਾਇਰਵਾਲ ਸੁਰੰਗ ਸਵੀਕਾਰ ਕਰਦੀ ਹੈ ਪਰ ਅੰਦਰਲਾ ਪ੍ਰਵਾਹ ਰੋਕਦੀ ਹੈ, ਉਹ ਦੂਜੇ ਸਿਰੇ ਤੋਂ ਬਿਲਕੁਲ ਟੁੱਟੀ ਸੁਰੰਗ ਵਰਗੀ ਦਿਖਦੀ ਹੈ।

ਕੀਮਤ ਇਹ ਹੈ ਕਿ ਫਾਇਰਵਾਲ ਹੁਣ ਸਾਈਟ ਦੇ ਸਾਰੇ ਟ੍ਰੈਫ਼ਿਕ ਦੇ ਰਾਹ ਉੱਤੇ ਹੈ, ਇਸ ਲਈ ਇਸ ਦਾ ਥ੍ਰੂਪੁਟ, ਸੈਸ਼ਨ ਸੀਮਾਵਾਂ ਅਤੇ ਅਸਫਲਤਾ ਉੱਤੇ ਬਦਲਣ ਦਾ ਵਿਵਹਾਰ ਖ਼ੁਦ ਸੁਰੰਗ ਦਾ ਵਿਵਹਾਰ ਬਣ ਜਾਂਦਾ ਹੈ। ਇਸ ਨੂੰ ਸੰਯੁਕਤ ਸਾਈਟ ਪ੍ਰਵਾਹਾਂ ਲਈ ਮਾਪੋ, ਸ਼ਾਇਦ ਖਰੀਦੇ ਦੂਰਸਥ ਪਹੁੰਚ ਪ੍ਰੋਫਾਈਲ ਲਈ ਨਹੀਂ।

ਰਾਊਟਰ ਸਮਾਪਤੀ ਵਜੋਂ: ਨਿਰੀਖਣ ਛਾਲ ਚੋਣਵੀਂ ਹੋ ਜਾਂਦੀ ਹੈ

ਜਦੋਂ ਰਾਊਟਰ ਡਿਕ੍ਰਿਪਟ ਕਰਦਾ ਹੈ, ਪੈਕਟ ਰਾਊਟਿੰਗ ਸਾਰਣੀ ਤੱਕ ਪਹੁੰਚਦਿਆਂ ਪਹਿਲਾਂ ਹੀ ਸਾਫ਼ ਹੁੰਦਾ ਹੈ। ਜੇ ਵੱਖਰੀ ਫਾਇਰਵਾਲ ਨੇ ਉਸ ਟ੍ਰੈਫ਼ਿਕ ਦੀ ਜਾਂਚ ਕਰਨੀ ਹੈ, ਰਾਊਟਰ ਨੇ ਇਸ ਨੂੰ ਫਾਇਰਵਾਲ ਰਾਹੀਂ ਭੇਜਣਾ ਹੁੰਦਾ ਹੈ ਅਤੇ ਵਾਪਸੀ ਰਾਹ ਨੇ ਉਸੇ ਤਰ੍ਹਾਂ ਮੁੜਨਾ ਹੁੰਦਾ ਹੈ। ਰਾਊਟਰ ਤੋਂ ਸਰਵਰ VLAN ਤੱਕ ਸਿੱਧਾ ਰਾਹ ਫਾਇਰਵਾਲ ਨੂੰ ਚੁੱਪਚਾਪ ਰਾਹ ਤੋਂ ਹਟਾ ਦਿੰਦਾ ਹੈ ਪਰ ਚਿੱਤਰ ਵਿੱਚ ਰੱਖਦਾ ਹੈ।

ਇਹੀ ਉਹ ਨੁਕਸ ਹੈ ਜੋ ਮੌਜੂਦਾ ਨੈੱਟਵਰਕ ਵਿੱਚ ਲੱਭਣਾ ਚਾਹੀਦਾ ਹੈ: ਇੱਕੋ ਪ੍ਰੀਫ਼ਿਕਸ ਵੱਲ ਦੋ ਰਾਹ, ਇੱਕ ਫਾਇਰਵਾਲ ਰਾਹੀਂ ਅਤੇ ਇੱਕ ਸਿੱਧਾ, ਅਤੇ ਸਿੱਧਾ ਪ੍ਰੀਫ਼ਿਕਸ ਲੰਬਾਈ ਜਾਂ ਮੈਟ੍ਰਿਕ ਉੱਤੇ ਜਿੱਤ ਜਾਂਦਾ ਹੈ। ਸੁਰੰਗ ਅਜੇ ਵੀ ਟ੍ਰੈਫ਼ਿਕ ਲੰਘਾਉਂਦੀ ਹੈ ਅਤੇ ਜਿਸ ਨਿਰੀਖਣ ਉੱਤੇ ਤੁਸੀਂ ਭਰੋਸਾ ਕਰਦੇ ਹੋ ਉਹ ਨਹੀਂ ਹੁੰਦਾ।

ਰਾਹ ਅਧਾਰਿਤ ਸੁਰੰਗਾਂ ਇਸ ਨੂੰ ਦਿਖਾਉਂਦੀਆਂ ਹਨ, ਕਿਉਂਕਿ ਸੁਰੰਗ ਇੱਕ ਇੰਟਰਫ਼ੇਸ ਹੈ ਜਿਸ ਰਾਹੀਂ ਕਿਸੇ ਹੋਰ ਯੰਤਰ ਰਾਹੀਂ ਰਾਊਟ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ। ਨੀਤੀ ਅਧਾਰਿਤ ਸੁਰੰਗਾਂ ਟ੍ਰੈਫ਼ਿਕ ਨੂੰ ਚੋਣਕਾਰ ਰਾਹੀਂ ਚੁਣਦੀਆਂ ਹਨ, ਜੋ ਡਿਕ੍ਰਿਪਟ ਹੋਇਆ ਪੈਕਟ ਰਾਊਟਰ ਉੱਤੇ ਹੋਰ ਮੰਜ਼ਿਲ ਤੋਂ ਬਿਨਾਂ ਛੱਡ ਸਕਦਾ ਹੈ।

ਦੋਵਾਂ ਉਮੀਦਵਾਰਾਂ ਨੂੰ ਉਹੀ ਪੰਜ ਸਵਾਲ ਪੁੱਛੋ

ਛੋਟੀ ਕਾਰਜ ਪੱਤਰੀ ਵਿਸ਼ੇਸ਼ਤਾ ਮੈਟ੍ਰਿਕਸ ਨੂੰ ਹਰਾਉਂਦੀ ਹੈ, ਕਿਉਂਕਿ ਹਰ ਸਵਾਲ ਚਿੱਤਰ ਦੀ ਇੱਕ ਲਕੀਰ ਨਾਲ ਮੇਲ ਖਾਂਦਾ ਹੈ। ਹਰ ਉਮੀਦਵਾਰ ਨੂੰ ਪੁੱਛੋ:

• ਕਿਹੜੇ IKE ਸੰਸਕਰਣ, ਕਿਹੜੀਆਂ ਸਹਿਕਰਮੀ ਪ੍ਰਮਾਣਿਕਤਾ ਵਿਧੀਆਂ ਅਤੇ ਕਿਹੜੇ ਰਾਊਟਿੰਗ ਮਾਡਲ ਇਹ ਰਿਲੀਜ਼ ਸੱਚਮੁੱਚ ਸਮਰਥਨ ਕਰਦੀ ਹੈ?
• ESP ਕਿੱਥੇ ਸਵੀਕਾਰ ਹੁੰਦਾ ਹੈ ਅਤੇ ਡਿਕ੍ਰਿਪਟ ਹੋਇਆ ਪ੍ਰਵਾਹ ਕਿੱਥੇ ਮਨਜ਼ੂਰ ਜਾਂ ਰੱਦ ਹੁੰਦਾ ਹੈ?
• ਸਥਾਨਕ ਹੋਸਟ ਦੂਰਸਥ ਪ੍ਰੀਫ਼ਿਕਸ ਕਿਵੇਂ ਸਿੱਖਦੇ ਹਨ ਅਤੇ ਦੂਜਾ ਧਿਰ ਤੁਹਾਡੇ ਕਿਵੇਂ ਸਿੱਖਦੀ ਹੈ?
• ਅਸਲ ਭਾਰ ਲਈ ਅੰਤਿਮ ਬਿੰਦੂ ਨੇ ਕਿੰਨਾ ਥ੍ਰੂਪੁਟ, ਕਿੰਨੇ ਸੈਸ਼ਨ ਅਤੇ ਅਸਫਲਤਾ ਉੱਤੇ ਬਦਲਣ ਦਾ ਕਿਹੋ ਜਿਹਾ ਵਿਵਹਾਰ ਸਹਿਣਾ ਹੈ?
• ਜਦੋਂ ਸੁਰੰਗ ਹੀ ਖ਼ਰਾਬ ਚੀਜ਼ ਹੋਵੇ, ਸਹਿਕਰਮੀ ਦੇ ਪ੍ਰਮਾਣ ਪੱਤਰ, ਨੀਤੀ ਅਤੇ ਬਹਾਲੀ ਰਾਹ ਦਾ ਮਾਲਕ ਕੌਣ ਹੈ?

pfSense ਨੀਤੀ ਅਧਾਰਿਤ ਅਤੇ ਰਾਹ ਅਧਾਰਿਤ IPsec ਨੂੰ ਵੱਖਰੀਆਂ ਸੀਮਾਵਾਂ ਵਾਲੇ ਵੱਖਰੇ ਮਾਡਲ ਵਜੋਂ ਦਰਜ ਕਰਦਾ ਹੈ, ਅਤੇ ਇਹ ਫ਼ਰਕ ਡੱਬੇ ਦੇ ਲੇਬਲ ਨਾਲੋਂ ਵੱਧ ਮਹੱਤਵਪੂਰਨ ਹੈ। ਤੁਸੀਂ ਜੋ ਰਿਲੀਜ਼ ਸੱਚਮੁੱਚ ਤੈਨਾਤ ਕਰੋਗੇ ਉਸ ਵਿੱਚ ਸਹੀ ਮੋਡ ਅਤੇ ਡਿਕ੍ਰਿਪਟ ਹੋਏ ਟ੍ਰੈਫ਼ਿਕ ਦੀ ਸਮਰਥਿਤ ਫਿਲਟਰਿੰਗ ਜਾਂਚੋ।

ਜੇ ਕੋਈ ਉਮੀਦਵਾਰ ਦੂਜੇ ਸਵਾਲ ਦਾ ਜਵਾਬ ਅਜਿਹੇ ਨਿਯਮ ਨਾਲ ਨਹੀਂ ਦੇ ਸਕਦਾ ਜੋ ਤੁਸੀਂ ਪੜ੍ਹ ਸਕੋ, ਤਾਂ ਉਹ ਤੁਹਾਡੀ ਚਾਹੀਦੀ ਸੀਮਾ ਨਹੀਂ, ਬਾਕੀ ਸਭ ਕਿੰਨਾ ਵੀ ਚੰਗਾ ਕਰੇ। ਹਾਂ ਦੀ ਥਾਂ ਨਿਯਮ ਦਾ ਪਾਠ ਮੰਗੋ ਅਤੇ ਅਸਪਸ਼ਟ ਜਵਾਬ ਨੂੰ ਨਾ ਸਮਝੋ।

ਰਾਹ ਨੂੰ ਕੈਪਚਰ ਨਾਲ ਪਰਖੋ, ਚਿੱਤਰ ਨਾਲ ਨਹੀਂ

ਚਿੱਤਰ ਇਰਾਦਾ ਦੱਸਦਾ ਹੈ ਅਤੇ ਕੈਪਚਰ ਵਿਵਹਾਰ, ਇਸ ਲਈ ਕਿਸੇ ਇੱਕ ਉੱਤੇ ਭਰੋਸਾ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ ਪੁਸ਼ਟੀ ਕਰੋ ਕਿ ਕਿਹੜਾ ਇੰਟਰਫ਼ੇਸ ESP ਅਤੇ ਕਿਹੜਾ ਅੰਦਰਲਾ ਪ੍ਰਵਾਹ ਲੈ ਕੇ ਜਾਂਦਾ ਹੈ।

tcpdump -ni wan0 esp
tcpdump -ni lan0 host 10.60.4.20
ip xfrm policy list

ਜੇ ਪਹਿਲਾ ਕੈਪਚਰ ESP ਆਉਂਦਾ ਦਿਖਾਉਂਦਾ ਹੈ ਅਤੇ ਦੂਜਾ ਅੰਦਰਲਾ ਪੈਕਟ LAN ਪਾਸੇ ਦਿਖਾਉਂਦਾ ਹੈ, ਡਿਕ੍ਰਿਪਸ਼ਨ ਬਿੰਦੂ ਉੱਥੇ ਹੀ ਹੈ ਜਿੱਥੇ ਤੁਸੀਂ ਸੋਚਦੇ ਹੋ। ਜੇ ਅੰਦਰਲਾ ਪੈਕਟ ਉਸ ਹਿੱਸੇ ਉੱਤੇ ਦਿਖਾਈ ਦੇਵੇ ਜੋ ਫਾਇਰਵਾਲ ਨੂੰ ਬਾਈਪਾਸ ਕਰਦਾ ਹੈ, ਰਾਊਟਿੰਗ ਗ਼ਲਤ ਹੈ, ਨੀਤੀ ਦਾ ਪਾਠ ਕੁਝ ਵੀ ਕਹੇ। xfrm ਸੂਚੀ ਫਿਰ ਦਿਖਾਉਂਦੀ ਹੈ ਕਿ ਕਿਹੜੇ ਚੋਣਕਾਰ ਸਥਾਪਿਤ ਹਨ ਅਤੇ ਕਿਸ ਦਿਸ਼ਾ ਵਿੱਚ।

ਵਾਪਸੀ ਰਾਹ ਉੱਤੇ ਕੈਪਚਰ ਦੁਹਰਾਓ, ਕਿਉਂਕਿ ਕਿਸੇ ਸਾਈਟ ਦੇ ਦੋ ਸੰਭਾਵੀ ਨਿਕਾਸ ਹੋਣ ਵੇਲੇ ਅਸਮਮਿਤ ਰਾਊਟਿੰਗ ਆਮ ਹੈ। ਜੋ ਸੁਰੰਗ ਇੱਕ ਦਿਸ਼ਾ ਵਿੱਚ ਕੰਮ ਕਰਦੀ ਹੈ ਅਤੇ ਦੂਜੀ ਵਿੱਚ ਸਮਾਂ ਖ਼ਤਮ ਹੋ ਜਾਂਦੀ ਹੈ, ਉਹ ਲਗਭਗ ਹਮੇਸ਼ਾ ਇਹੀ ਹੁੰਦੀ ਹੈ, ਅਤੇ ਦੂਜੇ ਪਾਸੇ ਦੀ ਕੋਈ ਨੀਤੀ ਸੰਪਾਦਨਾ ਇਸ ਨੂੰ ਠੀਕ ਨਹੀਂ ਕਰਦੀ।