د VPN له لارې تړلو دوو دفترونو ترمنځ لاسرسی څنګه محدود کړو

د سایټ-سایټ تونل یوې پوښتنې ته ځواب وایي، چې دوې دفترې کولای شي پاکټونه تبادله کړي که نه، او مهمه پوښتنه پرانیستې پریږدي: کومه څانګه وسیله کوم مرکزي خدمت ته رسېدلی شي. تونل د متقابل باور په توګه ګڼل هغه لار ده چې د مېلمه لیپ ټاپ د مالیې سرور سره په یوه مسیر کې ځای پرځای کېږي. حل نه غوره تونل دی، بلکې یو روښانه اجازه لښتیالی دی چې له ډیکریپشن وروسته پلي کېږي. دا لارښود هغه لښتیالی له تعریف څخه تر ثابت شوي رد پورې وړي.

په همدې ترتیب کار وکړئ، او د تونل لاره مه پراخوئ تر څو چې لاندې پالیسي ګامونه بریالي شي.

د ګېټوې د لمس کولو دمخه میټریکس ولیکئ

ګټور قطار درې شيان نوموي: د سرچینې ګروپ، د منزل هوسټ یا د خدمت شبکه، او هغه پروتوکول او پورټ چې اپلیکیشن واقعاً کاروي. څانګه او د معلوماتو مرکز د ننوتلو ځایونه نه دي. شخصي DNS او تصدیق خدمتونه خپل قطارونه یوازې هغه وخت ترلاسه کوي چې اپلیکیشن پرته له دوی کار نشي کولی.

سرچینې د فرعي شبکې اسانتیا پرځای د رول له مخې ګروپ کړئ: کارکوونکي، مېلمانه، اداره. کله چې درې واړه یوه هواره LAN شریکوي، ګېټوې نشي کولای په شبکه کې یې توپیر وکړي، نو د هویت کنټرول یا وېش باید لومړی راشي. بیا میټریکس په لیکلي ډول کېږدئ، په هر قطار کې مالک او د بیاکتنې نېټه ولیکئ.

هلته یې پلي کړئ چېرې چې پاکټونه ډیکریپټ کېږي

هغه قواعد چې IKE او ESP ته اجازه ورکوي یوازې بهرنی تونل جوړوي. داخلي ترافیک په تونل انټرفېس باندې ښکاره رارسېږي، او د اجازې لښتیالی ځای هماغلته دی: د لیږد زنځیر په ډیکریپټ کوونکې وسیله، تلواله غورځول، د میټریکس هر قطار لپاره یوه قاعده. په Linux ګېټوې کې دا مانا ده چې لیږد فعال دی او د فلټر قواعد د تونل وسیله باندې دي، نه په فزیکي اړیکه، لکه څنګه چې د strongSwan د لیږد لارښود بیانوي.

د ترافیک ټاکونکي د لارښوونې پریکړه ده، نه د اجازې پریکړه. پراخ ټاکونکی چې دواړه فرعي شبکې پوښي کېدای شي د لارښوونې لپاره سم وي، خو فایر وال لا هم یوازې یو هوسټ ته TCP 443 ته اجازه ورکوي. ټاکونکی د تونل لپاره خبرې اترې کېږي او بیانوي چې څه کولای شي دننه شي، نه دا چې کومه وسیله څه کارولی شي. هېڅکله د فایر وال قاعده مه پراخوئ ځکه چې ټاکونکی پراخ دی.

iptables -A FORWARD -i tun0 -s 10.20.0.0/24 -d 10.10.5.10 -p tcp --dport 443 -j ACCEPT
iptables -A FORWARD -i tun0 -j DROP

NAT او یو بل پوښوونکې فرعي شبکې قواعد بدلوي

کله چې د څانګې ګېټوې له تونل دمخه هر هوسټ یوې پتې ته ژباړي، د سرچینې پر بنسټ هر قطار په هماغه یوه پته کې نسکورېږي. یا د تونل ترافیک ژباړل بندوئ، یا ومنئ چې قواعد باید پر بل شي، لکه په اصلي سرچینې پته چې له ژباړې دمخه ثبت شوې، تکیه وکړي. لرې سر هم هماغه ستونزه لري، ځکه چې د منزل هوسټ اصلي پته نه، بلکې له NAT وروسته پته ویني.

یو بل پوښوونکې حدونه بله تله ده. دوه دفترې چې دواړه 192.168.1.0/24 کاروي، پرته له دې چې یو اړخ نقشه شي، په یوه پالیسي جدول کې نشي بیانېدلی، او نقشه کول د ټکر نه کوونکي پتې اخیستنې بدیل نه دی. پلان سم کړئ مخکې له دې چې هغه قواعد ولیکئ چې وروسته به یې خلاصول لازم شي.

رد ثابت کړئ، نه یوازې بریا

یوازې اجازه ورکړل شوي اپلیکیشن ازموینه ډېر لږ ثابتوي، ځکه چې پورته چېرې یوه آسانه قاعده هماغه پایله ورکوي.

له یوې عادي څانګې وسیلې څخه خپل هدف خدمت ته ورسیږئ او تایید کړئ چې ټوله ناسته کار کوي. بیا هغه منزل ته هڅه وکړئ چې باید بند پاتې شي، لکه په یو سرور کې اداري پورټ چې څانګه ورسره هېڅ کار نه لري، او هغه شمېرونکی یا لاګ ننوتنه ولولئ چې هغه یې وغورځاوه. د قواعدو ټولګه بندول تر څو وګورئ چې کار کوي که نه، ازموینه باطلوي او تر څو چې ګورئ ګېټوې پرانیستې پریږدي.

لښتیالی ژوندی وساتئ

اپلیکیشنونه ځای بدلوي، او هغه قاعده چې خپل اپلیکیشن ته اوږده ژوند وکړي، هغه سوری کېږي چې هیچا نه لري. د بیاکتنې نېټه له قطار سره وتړئ، او کله چې خدمت پته بدلوي، په هماغه ساتنې ګام کې د ټاکونکي حد او د فایر وال قاعده بدل کړئ.

د هوسټ په کچه محدودیتونه د تونل شاته هم مهم دي: د سرور خپل فایر وال باید د څانګې حد یوازې هغه خدمت لپاره ومني چې خپروي یې. دوه سره سمون خوړونکې طبقې د یوې بشپړ باور وړ طبقې په پرتله اسانه بیاکتل کېږي.