له ډيکوډ وروسته: کومه پالنه لومړی ستاسو VPN ټرافیک ګوري

د VPN جریان کېدای شي په بشپړ ډول کوډ شوی او بشپړ تصدیق شوی وي او بیا هم هغه ځای ته ورسیږي چې چا پلان نه و کړی. هغه کیبل چې تاسو یې نښلوئ نه ټاکي چې کومه قاعده دننه پیکټ پروسس کوي؛ دا د پالنې هک او لار ټاکي. له همدې امله دوه ډیزاینونه چې په ریک انځور کې یو شان ښکاري کېدای شي بشپړ توپیر لرونکی پلي کول ولري. د دوی ترمنځ انتخاب د هغه کنټرول په نوم پیل کیږي چې ډيکوډ شوی جریان لومړی ګوري.

د پورټ پرځای د پالنې هک له مخې پرېکړه وکړئ

هره VPN پلیټ فارم د لیږلو دمخه په یو ځای کې ډيکوډ شوی ټرافیک ارزوي، او هغه ځای په ترتیباتو کې نوم لري. په یو پلیټ فارم کې دا د ډلې پالنې فلټر دی، په بل کې د انټرفیس پالنه یا د زون جوړه، او په هغه وسیله چې لار ښیي دا ممکن یوازې د forward زنځیر وي. هک قاعده پلي کوي، او د سویچ پورټ یوازې هغه ځای دی چې کیبل پای ته رسیږي. د هک موندل لومړی پرېکړه ده، ځکه چې نور هر څه د هغې په نسبت ځای پرځای کول دي.

دمخه له دې چې تجهیزات وګورئ، جریان ولیکئ: سرچینه څوک ده، چېرته ځي، کوم پروتوکول یې وړي او کومه خدمت اجازه لري. بیا هغه کنټرول ومومئ چې دا څلور حقیقتونه پلي کوي.

دوه لارې، دوه بېلې د پلي کولو کیسې

دوه بڼې عامې دي او هر یو کېدای شي د بېلې اړتیا لپاره سم وي.

endpoint -> shared inside subnet -> server
endpoint -> dedicated transit -> policy firewall -> server subnet

لومړی بڼه کولای شي هر هغه څه چې اړین دي په ګیټ وې کې پلي کړي، په دې شرط چې پالنه د هغه هدف لپاره لیکل شوې وي او سرور د څنګ څخه د تیریدو لار ونه لري. دوهم بڼه یوه پوله زیاتوي، مګر یوازې هغه وخت چې لارې او پالنه ټرافیک په رښتیا هغې ته تیر کړي. هغه سرور چې د پای نقطې سره په یوه برخه کې وي کېدای شي هیڅکله تصور شوی منځنی ټوپ ونه نیسي. انځور نیت ښیي، او د لارو جدول ښیي چې څه پیښیږي.

د انځور پرځای د لارې پلټنې له مخې تصدیق کړئ. هغه انټرفیس چې پیکټ ترې وځي او هغه راتلونکی ټوپ چې غوره کوي پرېکړه کوي چې دوهمه بڼه د ډیزاین مطابق کار کوي که نه.

ip route get 10.30.7.20
sudo iptables -S FORWARD
sudo tcpdump -ni inside0 host 10.30.7.20

ټوپولوژي له جلا کیدو څخه جلا کړئ

د سبنیټ شریکول ځای نا باوري نه کوي، او ځانګړی تیریدل یې خوندي نه کوي. پرېکړه هغه محدودیت کوي چې واقعاً پلي کیږي، هغه لیږد چې واقعاً پیښیږي، او څوک چې هر برخه اداره کوي. د سویچونو شمیرل د دې درېیو په اړه هیڅ نه وایي. له پالنې او لارې پرېکړه وکړئ، بیا دې ټوپولوژي پرېکړه تعقیب کړي.

د ټرافیک ډلې هم جلا وساتئ. د لیرې لاسرسي حوضونه، د سایټ تر سایټ مخکښې او د خصوصي کرښې شبکې کولای شي یوه وسیله شریکه کړي او بیا هم بېل قواعد وغواړي، ځکه چې د دوی هویت او خطر بېل دی. هغه قاعده چې د یوې ډلې لپاره لیکل شوې ده، نور په خاموشۍ پټوي کله چې دوی د آدرس پلان شریک کړي.

د هر ځای لپاره ناکامي او اداره وګورئ

هر ځای د ناکامۍ طریقه لري، او ګټوره پوښتنه دا ده چې کله یوه برخه ودریږي څه لا کار کوي. په یوه مړه وسیله کې څو منطقي انټرفیسونه خپلواکه بیا رغونه نه درکوي، او هغه لاندې وال فایر وال چې ورته بریښنا یا ورته مدیر شریکوي دوهمه پوله نه ده. وپوښتئ چې د ادارې لار چېرته تیریږي، ځکه هغه کنسول چې یوازې د تونل له لارې ورته رسیږی هیڅ د بیا رغونې لار نه ده; ssh [email protected] true د تونل له باندې چلول دا ثابتولو ترټولو ارزانه لار ده چې کنسول پرې تکیه نه کوي. د یو پلیټ فارم د ډلې پالنې اسناد خپل فلټر د ډيکوډ وروسته او د کوډ دمخه ټرافیک ته ږدي، کوم چې په هر محصول کې د لټولو وړ هماغه نوم لرونکی هک دی.

د هر کاندید د ناکامۍ کیسه د پلي کولو کیسې ترڅنګ ولیکئ. هغه ځای چې په کتنه کې وګټي او په بیا رغونه کې وبایلي یوه تبادله ده، او باید همداسې ثبت شي نه دا چې د پیښې په جریان کې وموندل شي.

د اجازه شوي او رد شوي جریان سره ومنئ

له تصویب شوي ازموینې پلان سره، له ریښتیني VPN سرچینې څخه درې شیان وګورئ: هغه اپلیکیشن چې باید کار وکړي، هغه سرچینه چې باید ونه کړي، او هغه لوری چې ځواب ترې بیرته راځي. ردول هغه شاهد دی چې پالنه فعاله ده، پداسې حال کې چې اجازه شوی جریان یوازې د لار شتون ښیي.

غوره شوې لار او د پالنې پایله یوځای وساتئ، ځکه چې د لار پرته پایله بیا تولیدیدلی نه شي او د پایلې پرته لار ساتل کیدلی نه شي. دا جوړه د نښلولو نقطې د غوره کولو لپاره له هر هغه ادعا څخه ډیره ګټوره ده چې کومه سویچینګ طبقه په خپله خوندي ده.