ستاسو د سایټ VPN چېرته پای ته رسېږي، هغه ټاکي چې څه پلټل کېږي

د سایټونو ترمنځ تونل یوه تفصیل پټوي چې د ټولې پلټنې ډیزاین ټاکي: هغه دقیقه وسیله چې پر هغې د داخلي پاکټ روښانه متن ښکارېږي. له دې نقطې مخکې هر څه ESP ویني، او له هغې وروسته هر څه عادي IP ویني چې یو قاعده یې نیولی شي. پوله په غلط ځای کې کېږدئ او هغه فایر وال چې تاسو یې بیه ورکړې، په جواز لرونکي روټر بدلېږي. لاندې لارښود لومړی کرښه کاږي او بیا پوښتنه کوي چې کومه وسیله باید مالکیت ولري.

کرښه هغه ځای وکاږئ چېرې چې پاکټ نور کوډ شوی نه وي

په تونل حالت کې اصلي پاکټ کوډ کېږي او په نوي بهرني IP سرلیک کې نغاړل کېږي چې د سیال ګېټوې په نښه شوی وي. دا بهرنی پاکټ د ESP لپاره 50 پروتوکول لري، نو د دوو ګېټوې ترمنځ هر څه کولای شي دا روټ کړي پرته له دې چې داخلي پتې ولولي. لومړنې وسیله چې ډیکریپټ کوي هغه امنیتي پوله ده، او دا لومړنې وسیله هم ده چې داخلي بهیر ته پالیسي پلي کولای شي. له دې نقطې لاندې هر څه عادي روټینګ دي.

په انځور کې درې شیان په نښه کړئ: بهرنې پای نقطې چې ESP قبلوي،هغه خوندي شبکې چې په پالیسي کې نومول شوې، او بله اوښتون چې ډیکریپټ شوی پاکټ یې کوي. که دا درې په یوه وسیله نه وي، تاسو ته د ډیزاین وړ سپارل لرئ نه یوازې یوه کنټرول نقطه.

RFC 4301 د ډیکریپټ کوونکې وسیلې ته امنیتي ګېټوې وایي او پالیسي یې د پولې برخه ګڼي. دا له محصول کټګورۍ څخه ګټور چوکاټ دی، ځکه وسیله هغه وخت پوله ده چې پالیسي لري، نه هغه وخت چې د معلوماتو پاڼه یې فایر وال وایي.

فایر وال د پای په توګه: یوه وسیله، یوه پالیسي نقطه

کله چې فایر وال تونل پای ته ورسوي، پورتنې روټر یوازې باید ESP ورته ورسوي. فایر وال سیال تصدیق کوي، ډیکریپټ کوي او بیا خپل عادي قواعد د سرور VLAN پر لور په داخلي پاکټ پلي کوي. دې سره د پالیسي لوستلو لپاره یو ځای او د لاګونو لوستلو لپاره یو ځای وي، چې معمولاً پلټنه هماغه غواړي.

دواړه اجازې جلا وګورئ. وسیلې ته د IKE او ESP اجازه ورکول هغه قاعده نه ده چې لرې سایټ ته د سرور رسېدو اجازه ورکوي، او هغه فایر وال چې تونل ومني خو داخلي بهیر بند کړي، له بلې خوا بالکل د خراب تونل په څېر ښکاري.

بیه یې دا ده چې فایر وال اوس د سایټ د ټول ټرافیک په لار کې دی، نو د هغې تیرېدونکی ځواک، د سیشن حدود او د ناکامۍ پر مهال د بدلون چلند د خود تونل چلند ګرځي. هغه د سایټ د یوځای شوو بهیرونو لپاره اندازه کړئ، نه د هغه لرې لاسرسي پروفایل لپاره چې کېدای شي د هغې لپاره اخیستل شوې وي.

روټر د پای په توګه: د پلټنې اوښتون اختیاري کېږي

کله چې روټر ډیکریپټ کوي، پاکټ د روټینګ جدول ته رسېدو پر مهال لا روښانه وي. که جلا فایر وال باید دا ټرافیک وپلټي، روټر باید هغه د فایر وال له لارې ولیږي او د بېرته راتلو لار باید همداسې بېرته راشي. له روټر څخه تر سرور VLAN پورې مستقیمه لار په خاموشۍ فایر وال له لارې لرې کوي او په انځور کې یې پرېږدي.

دا هغه خرابي ده چې په موجوده شبکه کې باید ولټول شي: یوه مخکښې ته دوه لارې، یوه د فایر وال له لارې او بله مستقیمه، او مستقیمه د مخکښې اوږدوالي یا میټریک له مخې ګټي. تونل لا هم ټرافیک تېروي او هغه پلټنه چې تاسو پرې باور لرئ نه کېږي.

د لارې پر بنسټ تونلونه دا ښکاره کوي، ځکه تونل یو انټرفیس دی چې د بل وسیلې له لارې روټ کېدای شي. د پالیسۍ پر بنسټ تونلونه ټرافیک د سلیکټر له مخې غوره کوي، چې کېدای شي ډیکریپټ شوی پاکټ پر روټر پرته له بل هدف پرېږدي.

دواړو نوماندانو ته هماغه پنځه پوښتنې وکړئ

لنډ کاري پاڼه د ځانګړتیاوو میټریکس ته ماتې ورکوي، ځکه هر پوښتنه په انځور کې یوې کرښې سره سمون لري. له هر نوماند څخه وپوښتئ:

• کومې IKE نسخې،کومې سیال تصدیق کولو طریقې او کوم د روټینګ ماډلونه دا خپرونه واقعاً ملاتړ کوي؟
• ESP چېرته منل کېږي او ډیکریپټ شوی بهیر چېرته اجازه یا منع دی؟
• ځایي کوربه لرې مخکښې څنګه زده کوي او بل لوری ستاسو څنګه زده کوي؟
• پای نقطه باید د ریښتیني بار لپاره کوم تیرېدونکی ځواک، څو سیشنونه او د ناکامۍ پر مهال د بدلون کوم چلند وزغمي؟
• کله چې تونل هغه خرابه شی وي، د سیال اسنادو، پالیسي او د بیا رغونې لارې مالک څوک دی؟

pfSense د پالیسۍ پر بنسټ او د لارې پر بنسټ IPsec د جلا ماډلونو په توګه د جلا محدودیتونو سره مستند کوي، او دا توپیر د بکس له لیبل څخه مهم دی. په هغه خپرونه کې چې واقعاً به ځای پر ځای کړئ، دقیق حالت او د ډیکریپټ شوي ټرافیک ملاتړ شوی فلټر وګورئ.

که یو نوماند د دوهمې پوښتنې ځواب په داسې قاعده ورکولای نه شي چې تاسو یې لولای شئ، نو دا هغه پوله نه ده چې تاسو یې غواړئ، هر څومره چې نور هر څه ښه وکړي. د هو په ځای د قاعدې متن وغواړئ او مبهم ځواب نه وبولئ.

لاره د کیپچر سره وګورئ، نه د انځور سره

انځور نیت بیانوي او کیپچر چلند، نو د یوې پر باور کولو مخکې تایید کړئ چې کوم انټرفیس ESP او کوم داخلي بهیر وړي.

tcpdump -ni wan0 esp
tcpdump -ni lan0 host 10.60.4.20
ip xfrm policy list

که لومړی کیپچر د ESP راتګ وښيي او دوهم داخلي پاکټ د LAN خواته وښيي، نو د ډیکریپشن نقطه هماغه ځای دی چې تاسو فکر کوئ. که داخلي پاکټ په هغه برخه کې ښکاره شي چې فایر وال ته ګوښه ورکوي، روټینګ غلط دی، هر څه چې د پالیسۍ متن ووایي. xfrm لیست بیا ښيي چې کوم سلیکټرونه نصب دي او په کوم لوري.

کیپچر د بېرته راتلو په لاره تکرار کړئ، ځکه غیر متناسب روټینګ معمول دی کله چې یوه سایټ دوه ممکنه وتل ولري. هغه تونل چې په یوه لوري کار کوي او په بل کې وخت پای ته رسېږي، نږدې تل همدا وي، او د بل لوري د پالیسۍ هېڅ سمون یې نه سمولای شي.