دوه WAN لرونکې VPN پالیسي باید له کوم پیکټ سره سمون ولري؟

د VPN د دویم اپلینک له لارې د رونې غوښتنې لږ تر لږه دوه بېلابېل کارونه بیانوي، او هغه پالیسي چې یو سمول کوي بل ته لاس نه وړي. په لومړي کار کې د دوو پایونو ترمنځ کوډ شوی ترانسپورت بل WAN پتې ته ځي. په دویم کې د نښلول شوي کاروونکي ډیکرېپټ شوې اپلیکیشن جریان بل راتلونکي ټوپ ته وځي. دواړه قانوني دي، دواړه روټینګ کاروي، او هر یو له هغه پیکټ سره سمون ته اړتیا لري چې په پرېکړې نقطه کې شتون لري. لاندې څېړنې په ترتیب سره ترسره کړئ، ځکه لومړی یې ټاکي چې وروستي قواعد باید کوم پیکټ ونومي۔

دوې خبرې اترې ونوموئ

د دفتر د دروازې سره نښلول شوی لرې کارکوونکی تصور کړئ، چې داخلي اپلیکیشن سرور ته HTTPS پرانیزي. پر تار دوې خپلواکې خبرې اترې دي، او په هر پای کې یې پتې بېلې دي۔ باندنۍ خبرې اترې د دوو VPN پایونو ترمنځ روانې دي: د دروازې له پتې تر سیال پتې پورې، په هغه پروتوکول او پورټ کې چې ځای پرځای کول پرې سلا شوي. دنننۍ خبرې اترې له هغې پتې چې کلینټ ته ورکړل شوې تر 443 پورټ کې د اپلیکیشن سرور پتې پورې روانې دي۔

د اپلیکیشن منزل پورټ د VPN د ترانسپورت پورټ نه دی، او پر TCP 443 هر څومره پالیسي وي ټنل نه خوځوي. همدارنګه، هغه قاعده چې د سیال ترانسپورت پته بېرته اړوي، د دې په اړه هیڅ نه وایي چې د هغه کاروونکي HTTP غوښتنه د ډیکرېپشن وروسته چېرته ځي. له کومې قاعدې سره له مخکې تړاوه، دواړه خبرې اترې له خپلو ریښتینو پتو سره ولیکئ، ځکه په دې برخه کې ډېری ګډوډي د یوې نومولو او بلې تنظیمولو له امله ده۔

ومومئ چې ستاسو پالیسي پیکټ واقعاً چېرته لیدلی شي

سمون باید په هغه زنځیر او نوم فضا کې ارزول شي چې پیکټ لا هم ستاسو په بیان شوې بڼه کې دی. د LAN د ننوتلو سره تړل شوې قاعده دنننی پیکټ بې کوډ، د ټنل په لوري د روټ کېدو مخکې ویني. په سیمه ییز ډول جوړ شوي ترافیک باندې پلي شوې قاعده هغه پیکټونه ویني چې دروازه پخپله جوړوي، او دا هغه ترافیک په اتوماتيک ډول نه پوښي چې دروازه یوازې مخته استوي. کوډ شوی وتل بیا دریم حالت دی، چې معمولاً د LAN په خوا کې نه، بلکې د ټنل د وړونکي انټرفېس پر سر سمبالېږي۔

له همدې امله ورته د ترتیباتو ټوټه پر دوو پلیټ فارمونو بېل چلند کوي: د تړلو نقطې بېلې دي، او د پلورونکي د پالیسي کونجۍ کېدای شي د کوډ کولو له ګام مخکې یا وروسته وي. د بل پلورونکي له ډیاګرامه د ترتیب اټکل کولو پرځای د هغه ځانګړي محصول لپاره د پیکټ لار ولولئ۔

هغه ترانسپورت تایید کړئ چې پرې سلا شوي یاست

د UDP په کوډ شوي IPsec لپاره، RFC 3948 ESP د UDP دننه ږدي او یوه غیر ESP نښه کاروي ترڅو IKE پر شریک پورټ توپیر وکړي. ساده ESP یو IP پروتوکول دی، نه TCP یا UDP پورټ، نو د پورټ شمېرې له مخې لیکل شوې د اور دېوال قاعده به ورسره هیڅ سمون ونه خوري. دا توپیر ټاکي چې ستاسو WAN پالیسي ته د UDP قاعده، د پروتوکول قاعده، که دواړه ورته اړتیا ده۔

سلا شوي ارزښتونه پر یاد شوو برلاسي دي. د وسیلې څخه د اړیکې اوسني پورټونه او پتې ولولئ، د دې پرځای چې TCP 4500 یا زوړ د پلورونکي پورټ د احتیاط په توګه ورزیات کړئ، چې بې اړیکه ترافیک نیسي او ریښتینی د طبقه بندۍ ستونزه پټوي۔

له ژمنې مخکې د بېرته راتلو لار وګورئ

بهر ته وتل نیمه طرحه ثابتوي. هغه پیکټ چې د لرې کلینټونو حوض په لوري بېرته راځي، کله چې کوډ کول یې ځای نیسي، د کلینټ تر پتې لاندې نه لیدل کېږي: باندنی منزل د سیال ترانسپورت پته ده. که دویم اپلینک هغه سیال ته د بل هډې له لارې ورسیږي، د هغه ژباړه او فلټر کول ممکن له لومړي سره سمون ونه خوري، او اړیکه کېدای شي د لېږد پرځای بیا جوړه شي۔

د شبکې پتې ژباړې حالت د WAN بدلون معمول قرباني ده. ټاکل شوې اپلینک، تمه شوې باندنۍ سرچینې پته، کارېدونکې ژباړه او د سیال تر هغې رسېدنه ثبت کړئ، بیا ترانسپورت د هغه ټنل دننه نه استولو سره چې یې وړي، د رسېدو وړ وساتئ۔

دوه نیول سره دواړه طبقې تایید کړئ

پر WAN انټرفېس یو نیول او د ټنل په دننه کې یو نیول پوښتنه له هر کوم ترتیباتو پرتله چټکه حل کوي. هغوی له دروازې څخه وچلوئ، په داسې حال کې چې تایید شوی کلینټ یوه غوښتنه کوي، او دواړه فایلونه وساتئ۔

sudo tcpdump -ni wan1 'udp port 4500' -c 20
sudo tcpdump -ni tun0 'tcp port 443 and host 203.0.113.10' -c 20
ip route get 203.0.113.10 from 10.8.0.6

لومړی نیول باید باندنۍ خبرې اترې هغه انټرفېس ته د وتلو په حال کې وښيي چې ستاسو په نظر و، له تمه شوې سرچینې پتې سره. دویم باید دنننۍ خبرې اترې یو ځل، بې تکراره، د کلینټ پتې د سرچینې او د اپلیکیشن سرور د منزل په توګه وښيي. د لارې پلټنه تاییدوي چې روټر به د هغې سرچینه او منزل جوړې لپاره کومه جدول کاروي، او هماغه ځای کې د پالیسي تېروتنه معمولاً ښکاري. که هر یو نیول ونه ښکاره شي، د پرېکړې نقطه له هغه ځای پرته بل چېرته ده چې قاعده ورسره تړل شوې وه، او سمون هم هلته اړه لري نه پراختر سمون ته۔