د سایټ تر سایټ VPN لپاره څه ثبت کړو: سلیکټرونه او حد

د تونل له نصب وروسته شپږ میاشتې وروسته یوه نوې فرعي شبکه له پالیسۍ سره سمون نه لري او په شریک شوي ډرایو کې یوازینی سند یوازې د دفتر VPN بولي۔ د سلیکټر ریکارډ همدا ډول ناکامي مخه نیسي، او هغه مشخصه ده: د پتو ټولګه بدله شوه خو اسناد ونه بدل شول۔ د ریکارډ سم لیکل دا معنا لري چې پوه شئ د څو پتو ټولګو څخه کومه یوه تشریح کوئ، او هغه څه ثبت کړئ چې بل لوری یې واقعاً پلي کوي، نه هغه چې تاسو یې تنظیم کړی۔

تنظیم شوی، منل شوی نه دی

په پالیسۍ ولاړ IPsec تونل کې هر لوری د ټرافیک سلیکټرونه وړاندیز کوي: د ماشوم اړیکې لپاره د سرچینې او منزل حدونه۔ ځواب ورکوونکی لوری اجازه لري چې هغه وړاندیز تنګ کړي، نو نصب شوې اړیکه کېدای شي له هغه څخه کم پوښښ وکړي چې په تنظیم کې لیست شوي۔ هغه ریکارډ چې تنظیم کاپي کوي یو نیت تشریح کوي، نه اوسنی د ساتنې حد۔ دواړه په خاموشۍ سره جلا کیږي، او د تونل د حالت په پاڼه کې هغه ته اشاره کوونکی څه نشته۔

دواړه کالمونه د هغې نېټې سره وساتئ چې تاسو یې مشاهده کړې۔ تنظیم شوی سلیکټر هغه دی چې تاسو یې فکر کاوه؛ منل شوی هغه دی چې کرنل یې همدا اوس پلي کوي۔ کله چې دواړه توپیر ولري، هغه توپیر د لارښوونې له خرابۍ څخه ډېر ځله یوه ناڅاپي ناکامي تشریح کوي۔

یوه اړیکه د هر تنظیم شوي جوړه استازیتوب هم نه کوي۔ هغه تونل چې څو سلیکټر ترکیبونه لري کېدای شي په پای کې څو ماشوم اړیکې ولري، او هغه ریکارډ چې یوازې یوه یې لیستوي یوه نیمګړې لیست دی۔ د لنډیز کولو پر ځای یې یو په یو وشمېرئ۔

د لارې پر بنسټ تونلونه بل ډول غوره کوي

د لارې پر بنسټ انټرفیس سره، د لارښوونې جدول تصمیم نیسي چې څه تونل ته ننوځي او سلیکټرونه کولای شي په قصد سره پراخ وي۔ دا بې پروایي نه ده بلکې یو قانوني ډیزاین دی، او ریکارډ باید همداسې تشریح کړي۔ لاره، هغه انټرفیس چې ورته اشاره کوي، او هغه فایرول پالیسي ولیکئ چې محدودوي کوم خدمتونه رسیدونکي دي۔ د ساتنې حد په قصد سره پراخ دی، او تنګول د خدمت حد کوي۔

د پالیسۍ پر بنسټ ټيمپليټ کاپي کول پر لارې ولاړ تونل باندې سند جوړوي چې هغه میکانیزم تشریح کوي چې ځای پرځای کول یې نه کاروي۔ بل انجنیر بیا هغه سلیکټرونه لټوي چې هېڅکله باید نه وي، او نتیجه نیسي چې تونل غلط تنظیم شوی، حال دا چې یوازې بد ثبت شوی و۔

ژباړه په هماغه جدول کې ځای لري

کله چې NAT بل لوري ته بېل حد وړاندې کوي، اصلي او ژباړل شوي پریفکسونه یوځای ثبت کړئ۔ هغه پړاو یاد کړئ چې سلیکټرونه او د لاسرسي قواعد ورسره سمون خوري، ځکه ترتیب تصمیم نیسي چې لرې لوری به هغه پته چې تاسو لیکلې هېڅکله وویني که نه۔ هغه جدول چې یوازې یو له دوو حدودو ولري له بې جدوله بدتر دی، ځکه بشپړ ښکاري۔

دا هغه تفصیل دی چې د NAT له بدلون وروسته کار کوونکی تونل ماتوي: سلیکټر لاهم له اصلي پریفکس سره سمون خوري، بل لوری اوس ژباړل شوی ترلاسه کوي، او د هغه بیرته راستنیدو لاره هغې پتې ته اشاره کوي چې نوره نشته۔ په هغه شیبه کې چې دواړه سمون نه خوري هېڅ څه تېروتنه نه ثبتوي۔

شخصي DNS په هماغه ځای کې ځای لري۔ هغه نوم چې د اړوند سایټ څخه د کارولو وړ نه وي داسې پتې ته حل کیږي، د ملاتړ ټیکټ سره نښلول شوې اسنادي تېروتنه ده، او تور به پر تونل ولګول شي۔

د خدمت اړتیا ضمیمه کړئ

ساتل شوی حد د اجازې لیست نه دی۔ ولیکئ کوم خدمتونه باید د کومې سرچینې څخه رسیدونکي وي، او د هغوی شاته اپلیکیشن مالک څوک دی۔ هغه دوې برخې بېلو پوښتنو ته ځواب وایي، او د هغوی ګډول د دې لامل کیږي چې امنیتي کتنه په پای کې د لاسرسي پر ځای د لارښوونې په اړه بحث وکړي۔

بیا هغه شبکه ایز مدیر ونوموئ چې دا قاعده ساتي۔ پرته له مالک څخه د سلیکټر لیست په خاموشۍ سره زوړ کیږي، او د شپې دوه بجې چې تونل مات شي زوړ له غلط څخه توپیر نشي کېدای۔ مالک هغه کس هم دی چې کولای شي تایید کړي چې بدلون په قصد سره و۔

ریکارډ په ازموینې پلان واوړئ

د هرې اړینې لارې لپاره استازیتوب کوونکی سرچینه او منزل هوسټ غوره کړئ او تمه شوې لاره، خدمت او د ځواب ګیټ وې ثبت کړئ۔ دا سند له تشریح څخه په ازموینې پلان اوړي۔ لاندې کمانډ سره فعاله اړیکه ولولئ او له هغې منل شوې کرښې سره یې پرتله کړئ چې تاسو لیکلې۔

swanctl --list-sas

د پنځو کرښو کنکال معمولاً کافي دی چې ریکارډ ریښتینی پاتې شي۔ لاندې نسخه پرته له پرې کيدو په بدلون ټیکټ کې ځای نیسي:

sites: office <-> dc1
configured selector: 10.10.0.0/16 <-> 10.20.0.0/16
negotiated selector: 10.10.4.0/22 <-> 10.20.0.0/16
translated range: 172.16.4.0/22 -> 10.10.4.0/22
service and owner: erp:443 / finance-netops

یوازې تر ګیټ وې پورې پینګ د منلو ازموینه نه ده۔ هغه هېڅکله د تیریدو لاره نه کاروي، نو کولای شي بریالی شي پداسې حال کې چې هر لیږدول شوی بهیر ناکام وي۔ د یوې خوا هوسټ څخه د بلې خوا خدمت ته ازموینه وکړئ او تایید کړئ چې ځواب د تونل له لارې راځي۔ که یوازې پینګ بریالی شي، ریکارډ همدا اوس هغه لیږدولو ستونزه وموندله چې د مخنیوي لپاره لیکل شوې وه۔ د لیږدولو په اړه د strongSwan سند تشریح کوي چې په Linux پیر کې سلیکټرونه، لارې او لیږدول څنګه متقابل عمل کوي۔