د سایټ څخه سایټ VPN: کوم لوری واقعاً یو قاعده ته اړتیا لري؟

دواړه پایونه د تونل د جوړیدو راپور ورکوي، لرې څانګه د ګیټ وې څخه ځواب ورکوي، او اپلیکیشن لاهم د یو اړخ کاروونکو لپاره وخت پوره کوي۔ معمول مشوره دا ده چې په دواړو لورو کې د فایر وال قاعده اضافه کړئ۔ کله ناکله دا سمه ده، کله ناکله هغه قاعده تکراروي چې لا دمخه شته، او کله ناکله دوهمه قاعده هغه ده چې حالت ماتوي۔ کوم حالت پلي کیږي دا په دې پورې اړه لري چې فایر وال پاکټ چېرته ګوري۔

د حالت والا بیرته راستنیدونکی ټرافیک شمیر بدلوي

د حالت والا فایر وال غوښتنه ثبتوي او ځواب پرته له دوهمې قاعدې تیروي، نو هغه ډیزاین چې یوازې یوې قاعدې ته اړتیا لري نورمال دی۔ بې حالته د لاسرسي لیست داسې حافظه نلري، او ځواب باید په څرګنده توګه اجازه ولري۔ دواړه په خپل پلیټ فارم کې سم دي، له همدې امله مشورې یو له بل سره ټکر کیږي۔

د خپل مخې پلیټ فارم د لیږد اسناد ولولئ، او وګورئ چې تاسو چې کومه پالیسي سمولئ هغه د پاکټ د لیدلو په ځای کې حالت والا ده که نه۔ د جوړ شوي ټرافیک لپاره څرګنده بندیز، یا د قاعدو هغه ترتیب چې ځواب د حالت جدول څخه مخکې ارزوي، کاري ډیزاین په معما بدلوي۔ د قاعدو شمیر د پلي کولو تفصیل دی، پداسې حال کې چې اړتیا دا ده چې د اجازه شوې خبرې اترې دواړه لوري بشپړ شي۔

چیرته چې فایر وال ډیکریپټ شوي پاکټونه ګوري

په پالیسي باندې ولاړ تونل کې فایر وال کولی شي انکریپټ شوی پاکټ د ډیکریپشن څخه مخکې او ډیکریپټ شوی پاکټ وروسته، په بیلابیلو انټرفیسونو کې ارزړي۔ هغه قاعده چې د غلط انټرفیس لپاره لیکل شوې موجوده ده، سمه ده او هېڅکله نه سمونږي۔ همداسې د یو کاري ځایګي څخه کاپي شوی د قاعدو ټولګه کولی شي په ورته هارډویر کې ناکامه شي۔

د لارې باندې ولاړ IPsec او ډیری عصري پلي کول د تونل انټرفیس وړاندې کوي، نو ډیکریپټ شوی پاکټ هلته رسیږي او عادي د انټرفیس قواعد پلي کیږي۔ د بل لپاره لیکل شوي لارښود څخه د قاعدو ټولګه کاپي کولو مخکې تصدیق کړئ چې ځایګی کوم ماډل کاروي۔ تونل انټرفیس هغه ځای هم دی چې باید وګورئ کله چې غواړئ پوه شئ چې پاکټ په بشپړه توګه ډیکریپټ شوی که نه۔

غیر متقارن لارښوونه انګیرنه ماتوي

د حالت والا فایر وال فرض کوي چې د خبرې اترې دواړه نیمې برخې ګوري۔ که ځواب د بلې دروازې له لارې بیرته راشي، هغه وسیله د غوښتنې لپاره هیڅ حالت نه لري او د خپلې پالیسۍ له مخې یې غورځوي۔ نښه یو اړخیزه ناکامي ده چې د لیږونکي اړخ هېڅ قاعده یې نشي سمولای۔ د ځواب لاره تعقیب کړئ د هر څه د سمولو مخکې۔

په دواړو اړخونو کې د پراخې اجازې قاعده اضافه کولو مخکې د ځواب لاره وګورئ۔ په هره انټرفیس باندې هر څه زغمل د لارښوونې تیروتنه پټوي او په ورته وخت کې لاسرسی پراخوي، کوم چې تر ټولو بد ترکیب دی۔

دواړه لوري د ریښتیني سرچینې پتو سره وګورئ

د هغه پت سره ازموینه وکړئ چې لرې اړخ یې واقعاً ګوري، ځکه ژباړه کولی شي د سرچینې قاعده له هیچا سره سمه نه شي۔ په دواړو دروازو کې په یو وخت کې نیول چل کړئ۔

tcpdump -ni any 'host 10.30.8.15 and tcp port 443'
nft list ruleset | grep -A 8 'chain forward'
ip route get 10.30.8.15
conntrack -L | grep 10.30.8.15

هغه غوښتنه چې د لرې دروازې په سر کې د ناڅاپي سرچینې پت سره ښکاري هغه قاعده تشریح کوي چې هېڅکله نه سمونږي، او هغه ځواب چې غلط انټرفیس ته رسیږي د حالت ناسمون تشریح کوي۔ بیا د تصویب شوې پولې دننه یو هدف او بهر یو هدف ازمویه کړئ، ترڅو پوله انګیرل شوې نه بلکې ښودل شوې وي۔

د ژباړې وروسته سرچینه پت، هغه انټرفیس چې ډیکریپټ شوي پاکټ کارولی و، او هغه قاعده چې سمونږي ثبت کړئ۔ دا درې حقایق پوره څیړنه بیا نه کولو سره بل ټیکټ ته ځواب ورکوي۔