د سایټ څخه سایټ VPN یوازې یوه خوا ته کار کوي: دوه بېلې ستونزې

سایټ A سایټ B ته رسېږي، B سایټ A ته نه شي رسېدلی، او تونل په دواړو خواوو کې سم ښکاري۔ د تونل له لاسوهنې مخکې پرېکړه وکړئ چې تاسو واقعاً کومه ستونزه لرئ۔ په B کې پیل شوې او رد شوې نوې اړیکه او په A کې پیل شوې اړیکې ته هغه ځواب چې هیڅکله نه رسیږي، ورته شکایتونه او بشپړ بېل تشخیصونه پیدا کوي۔ یوه په لاره کې د پالیسۍ یا مسیر ستونزه ده؛ بله د مخکې اجازه شوې ترافیک لپاره د بېرته راتلو لار یا حالت ستونزه ده۔

همدا توپیر پرېکوي چې کوم حکمونه د چلولو ارزښت لري۔

دوه ستونزې چې ورته ښکاري

په لومړي حالت کې د B کوربه A ته SYN لیږي او هیڅ نه راګرځي۔ په دویم کې د A کوربه په بریالیتوب سره یوه ناسته پرانیزي او ځواب د بېرته راتلو په لاره کې ورک شي۔ دواړه کاروونکي وایي چې اړیکه یوې خوا ته ده، او دواړه د ورک شوي پاکټ توصیف کوي، نو یوازې توصیف نشي کولی دوی سره جلا کړي۔

وپوښتئ چې کوم لوري ناکامه هڅه پیل کړې وه۔ همدا یوه حقیقت نیمایي احتمالي لاملونه لرې کوي۔

بیا وګورئ چې ازموینې له سره تر پایه ورته کوربې او ورته خدمت کارولی وي۔ د یوې خوا ping او د بلې خوا د فایل شریکولو اړیکه دوه بېل شیان ازموي، او د ګېټوې څخه ترلاسه شوی تشخیص کېدای شي هغه د تونل پته وټاکي چې هیڅ کاروونکي ترافیک یې نه کاروي۔

لومړی حالت: د بېرته راتلو لار نشته

لرې سرور چې د بل ډیفالټ ګېټوې له لارې ځواب ورکوي کولای شي غوښتنه ترلاسه او ځواب بل ځای ته مسیر کړي۔ بیا د حالت تعقیبوونکي فایر والونه نامتناسب ځواب غورځوي، ځکه چې له جوړې شوې بهیر سره سمون نه خوري، چې دا په بشپړه توګه هغه لوري ته ورته دی چې هیڅکله نه دی کار کړی۔ ژباړه بله بڼه زیاتوي: منزل ژباړل شوې سرچینه ویني او هغې ته ځواب ورکوي، نو د اصلي پتې لپاره لیکل شوی قاعده هیڅکله سمون نه خوري۔

هغه پته وګورئ چې منزل په ژباړې وروسته واقعاً ویني، او د بېرته راتلو لار دې پتې ته، نه اصلي فرعي شبکې ته۔

دویم حالت: پالیسي هیڅکله اجازه نه ورکړه

مخالف حالت د ښکارېدو څخه ساده او عام دی: یو دفتر باید مرکزي خدمت وکاروي او هیڅکله مرکز ته اړیکې پیل نه کړي۔ دا نامتناسبي په اراده اخیستل شوې د لاسرسي پرېکړه ده، او تونل لکه څنګه چې ډیزاین شوی کار کوي۔ د تونل له هر تنظیم بدلولو مخکې د لاسرسي پالیسي ولولئ۔ کومه خوا اراده شوې وه، هغه سند څرګندوي، نه د پاکټ نیول۔ نیول یوازې ښودلی شي چې څه وشول، نه دا چې څه اجازه وو۔

که دواړو خواوو ته پیل واقعاً اړین وي، د پلیټ فارم د ملاتړ شوې قاعدې ټولګې له لارې د هغه ځانګړي خدمت اجازه ورزیات کړئ۔ هرې فرعي شبکې سره متقابل باور ورکول د یو اپلیکیشن د سمولو لپاره تنګ اړتیا پراخه اجازه ته اړوي، او دا تبادله وروسته کمه کتنه کیږي۔

په هماغو کوربو کې مخکې او وروسته پرتله کړئ

د یوې هڅې دواړه سرونه وګورئ، نه دوه بېلې هڅې۔ د پیل کوونکي کوربه ګېټوې او منزل کې نیول وکړئ، بیا پرتله کړئ چې څه دننه راغلل، څه بهر لاړل او لرې خوا کومه پته ولیده۔

tcpdump -ni any host 10.20.30.40 and port 445
conntrack -L | grep 10.20.30.40
ip route get 10.20.30.40
swanctl --list-sas

که منزل کې نیول غوښتنه له نامتوقعې سرچینې پتې سره وښیي، ځواب په ژباړه یا مسیر کې دی، نه د تونل په امنیتي پالیسي کې۔ که منزل هیڅ غوښتنه ونه ښیي، پاکټ هیڅکله ساتل شوې لار نه ده تېره کړې۔

له اصلاح وروسته هماغه ازموینه له هماغه کوربه تکرار کړئ او تایید کړئ چې ناتړلی لاسرسی لا هم رد کیږي۔ د تونل “established” حالت یوازې په خپله د دواړو پایلو څخه هیڅ یوه نه تاییدوي۔