کوډ شوی ټرانزیټ لېږدوونکي ته لاسرسی نه ورکوي

دوه تصویب شوي ګېټوې د یوې محدودې ټرانسپورټ شبکې له لارې د کم باور شبکې ټرافیک وړي. د بار کوډ کول هغه د عادي ټرانزیټ کتونکو لپاره نا لوستل کېدونکی ساتي، او دا هغه برخه ده چې خلک لومړی ډیزاین کوي او بیا یې په اړه فکر کول بندوي. هغه څه چې کوډ کول نه کوي دا دي چې نه ټاکي چې د کم باور خوا کومو سرچینو ته رسېدلی شي. ډیزاین دوې پولې ته اړتیا لري: یوه د لېږل شوې خبرې اترې شاوخوا، او بله د لېږدوونکي خپل لاسرسي شاوخوا.

لاندې ګامونه په ترتیب سره ترسره کړئ، او په هر ګام کې ناکامي د کنفیګریشن سمون نه، بلکې د ډیزاین بدلون وګڼئ.

د کنفیګ لمسولو دمخه دواړه پولې تعریف کړئ

لومړۍ پوله خبرې اترې دي: کوم جوړه ګېټوې کولای شي تونل جوړ کړي، او کوم داخلي ټرافیک د هغې له لارې تېرېدلی شي. دوهمه لېږدوونکی دی: کم باور کوربې د تونل څخه بهر کومو پتې او خدمتونو ته رسېدلی شي. ټیمونه معمولاً لومړی جوړوي او دوهم له هرهغه رونټینګ څخه میراث اخلي چې دمخه موجود و، او په دې توګه یو محدود ډیزاین په خاموشۍ سره پراخ شي. همدا میراث هغه معمول بنسټیز لامل دی چې کله بیاکتنه ومومي چې د کم باور کوربه له هغه څه سره خبرې کوي چې هیڅوک یې تصویب نه دی کړی.

دواړه د پتو، پورټونو او لارو په لیستونو کې ولیکئ. که لیست ولیکل نشي، پوله لا نه ده تعریف شوې.

ګام 1: بهرنی تونل محدود کړئ

د لېږدوونکي په لوري انټرفیس کې یوازې هغه څه اجازه کړئ چې تونل ورته اړتیا لري: د دوو ګېټوې پتو ترمنځ پر UDP 500 او 4500 IKE، او چېرې چې NAT تېرېدنه نه کارول کېږي هلته ESP. پر هغه انټرفیس رسېدونکي نور هر څه، د مدیریت پروتوکولونو په ګډون، رد کړئ. د ESP مشخصات د ساتنې خدمتونه پوښي؛ خو د دې په اړه هیڅ نه وایي چې ګېټوې د لېږدوونکي کوم خپل خدمتونه کارولی شي. دا د روښانه اجازې لیست په توګه بیان کړئ، ترڅو نوی خپور شوی د لېږدوونکي خدمت په ډیفالټ توګه د لاسرسي وړ نه شي.

دا هغه قاعده ټولګه ده چې ډیزاین د پیرینګ تړون نه، بلکې د ټرانزیټ ډیزاین ګرځوي.

دا د ګېټوې کنسول نه، بلکې د کم باور خوا څخه وګورئ. هلته کوربه باید د تونل له پورته کېدو دمخه هم د لېږدوونکي DNS سرور ته د رسېدو په برخه کې ناکام شي.

ګام 2: پریکړه وکړئ چې لرې ګېټوې څه رسوي

په لرې پای کې، بیرته ترلاسه شوی ټرافیک باید یو ځانګړي ځای ته لاړ شي. تعریف کړئ کوم داخلي خدمتونه اجازه لري، له کومو سرچینو حدونو څخه، او آیا تمه کېږي چې ځوابونه سمیټریک وي. مدیریتي لاسرسی جلا بیاکتنه کړئ، ځکه چې هماغه ګېټوې ډېری وخت یو اداري انټرفیس څرګندوي چې هیڅکله د ټرانزیټ پلان برخه نه وه.

هغه ډیاګرام چې په بریالي ډیکوډ کې ودرېږي، ترټولو مهمه پریکړه یې پرېښې ده.

ګام 3: په هر پوړ کې مالکیت وساتئ

د ټرانزیټ تجهیزات لا هم بهرني پاکټونه ترلاسه او لیږدوي، نو د دوی پیچ او ظرفیت پلان ته اړتیا ده. د تونل پای ټکي خوندي پروتوکول پروسس کوي او داخلي ټرافیک خپل لیږد لارې ته څرګندوي، نو دوی خپل قواعد او خپله څارنه ته اړتیا لري. وروستي اپلیکیشنونه بار پروسس کوي، او نا روښانه بار د دې ثبوت نه دی چې ډیکوډ شوی ډاونلوډ بې زیانه دی.

هر پوړ ته مالک وټاکئ. هغه پوړونه چې مالک نلري هماغه دي چې ښویېږي.

ګام 4: تایید کړئ، بیا یې واکمنې ادارې ته وسپارئ

بهرنۍ لاره هغه وخت تایید کړئ چې تونل پورته وي او د لېږدوونکي قواعد پلي وي. بیا هرهغه سرچینه وآزمویئ چې د کم باور خوا باید ورته ونه رسېږي او تایید کړئ چې ناکامي ردول دي، نه د لارې پټوونکی وخت ختمېدل. د لاسرسي وړتیا او د سرچینو حدود هم وګورئ، ځکه چې کوډ شوی لینک هم کولای شي ډک شي.

د تنظیم شویو یا طبقه بندي شویو چاپېریالونو لپاره ډیزاین مسؤل امنیتي ادارې ته یوسئ او د هغې تصویب شوې جلا کولو معماري وکاروئ. VPN کنفیګریشن او مفهومي توضیح اعتبار نه رامنځته کوي. هغه ګام کاغذي کار نه دی؛ دا فیصله کوي چې ایا ډیزاین په بشپړ ډول د شتون اجازه لري که نه.