විකේතනය කළ මාර්ගය අඳින්න: VPN උපකරණය ප්‍රතිපත්තිය බලාත්මක කරන්නේ කොහේද
සංකේතනය කළ ශ්‍රාවකයේ නතර වන රූප සටහන වැදගත් ප්‍රතිපත්තිය නොපෙන්වයි. විකේතනය කළ මාර්ගය අඳින්න, පසුව ඉල්ලීම තරණය කරන දෙය අනුව ස්ථාන සසඳන්න.
විකුණුම්කරුවන්ගේ රූප සටහන් සාමාන්‍යයෙන් සංකේතනය කළ ශ්‍රාවකයේ නතර වේ, මන්ද පොදු ලිපිනය ඇත්තේ එම කොටසටය. ආරක්ෂක ඉරියව්ව තීරණය කරන ප්‍රශ්නය වන්නේ විකේතනයෙන් පසු කුමක් සිදුවේද යන්නය, පැකැට්ටුව සාමාන්‍ය IP බවට පත්වී මාර්ගගත කිරීමේ වගුව අවසර දෙන සියල්ලට ළඟා විය හැකි විටය. කිසිවෙකු එම කකුල අඳින්නේ නැත්නම් එහි හිමිකරුවෙක් ද නැත. පහත අත්පොත පළමුව එය අඳින අතර පසුව විකේතනය කළ ඉල්ලීම සැබවින්ම තරණය කරන දෙය අනුව ස්ථාන සසඳයි.
පැකැට්ටුව විකේතනයෙන් පසු අඳින්න, පෙර නොවේ
බාහිර මාර්ගය වන්නේ විකුණුම්කරුවන් ලේඛනගත කරන කොටසය: පොදු අන්ත ලක්ෂ්‍යයක්, සම්බන්ධතාවය පිළිගන්නා ප්‍රවාහන ප්‍රතිපත්තියක් සහ එය අවසන් කරන සේවාවක්. අභ්‍යන්තර මාර්ගය ආරම්භ වන්නේ පැකැට්ටුව එහි උමං ශීර්ෂය අහිමි වන මොහොතේය, සහ එතැන් සිට උමඟට කිසිදු සම්බන්ධයක් නැති මාර්ගගත කිරීමේ සහ පෙරහන් නීති එය පාලනය කරයි. දෙකම එකම පිටුවේ තබන්න, මන්ද පළමු එක පමණක් ඇති රූප සටහනක් පිළිගැනීම සහ අවසරය එකම තීරණයක් බව ඇඟවේ. එහෙම නොවේ, සහ ඒවා අතර ඇති පරතරය තමයි බොහෝ ස්ථාන වැරදි වන තැන.
අභ්‍යන්තර කකුල ඊතලයක් ලෙස නොව, නම් කළ උපාංග වර්ග සහිත අංකිත අනුක්‍රමයක් ලෙස ලියන්න. ඊතලය සඟවන්නේ ඉල්ලීම පෙරහනක් තරණය කරන්නේද නැද්ද යන්නය, සහ තරණය කිරීම හෝ නොකිරීම මුළු ප්‍රශ්නයයි. පහත සෑම පියවරක්ම උපාංගය සහ එහි ක්‍රියාත්මක වන නීති කට්ටලය නම් කරයි, එබැවින් අස්ථානගත පෙරහන රේඛාවකින් ඇඟවූ දෙයක් ලෙස නොව හිඩැසක් ලෙස පෙනේ.
- දුරස්ථ සේවාලාභියා: උමං නිර්මාණය කරන පරිශීලක උපාංගය.
- කෙළවර ප්‍රතිපත්තිය: බාහිර ප්‍රවාහනය පොදු ශ්‍රාවකයට පිළිගන්නා නීති කට්ටලය.
- අවසන් කරන උපාංගය: පැකැට්ටුව විසංකෝචනය කර සාමාන්‍ය IP ට භාර දෙන VPN අන්ත ලක්ෂ්‍යය.
- අභ්‍යන්තර පෙරහන: සේවාලාභියාගේ සිට සේවාව දක්වා ගමනාගමනය සීමා කරන යොමු කිරීම් හෝ ආරක්ෂක කණ්ඩායම් නීති කට්ටලය.
- යෙදුම් සත්කාරකය: විකේතනය කළ ඉල්ලීම ලබා ගන්නා සේවාව.
ප්‍රතිපත්ති දෙකක්, හිමිකරුවන් දෙදෙනෙක්
බාහිර ප්‍රතිපත්තිය පිළිතුරු දෙන්නේ කවුරුන්ට උමං ස්ථාපිත කළ හැකිද යන්නටය, සහ එය අවසන් කරන සේවාවට ප්‍රවාහනය පිළිගන්නා නීතිවල ප්‍රකාශ වේ. අභ්‍යන්තර ප්‍රතිපත්තිය පිළිතුරු දෙන්නේ සත්‍යාපිත පරිශීලකයාට කුමන සේවාවට ළඟා විය හැකිද යන්නටය, සහ එය යොමු කිරීම් නීති, ආරක්ෂක කණ්ඩායම් හෝ යෙදුම තුළම ජීවත් වේ. එක් උපාංගයකට දෙකම තැබිය හැක, සහ උපාංග කිහිපයක සැලසුමකට ද දෙකම ඇත. ඒවා වෙන් වෙන්ව නම් කිරීම තමයි පරිශීලකයා යෙදුමකට ළඟා නොවන විට කුමක් අසාර්ථක වුණාද කියා පැවසීමට ඔබට ඉඩ දෙන්නේ.
සහතික සහ බහු-සාධක සත්‍යාපනය වැනි පිළිගැනීම් පාලන පිළිතුරු දෙන්නේ අනන්‍යතාවයට පමණක්ය, වෙන කිසිවකට නොවේ. ඒවා ස්ථානය තීරණය නොකරයි, සහ පරිශීලකයා ඇතුළට පැමිණි පසු සම්පත් අනුව අවසර නොදේ.
ස්ථානය තීරණය කරන්නේ ඉල්ලීම කුමන මායිම තරණය කරන්නේද යන්නය
ස්ථාන තුනක් සාමාන්‍යය, සහ එක් එක් විකේතනය කළ ඉල්ලීම තරණය කරන මායිම වෙනස් කරයි. එහි කුමක් අවසන් වේද, කුමක් පැහැදිලි පෙළ දැකිය හැකිද, කුමන පාලනයකට තවමත් ඉල්ලීම ප්‍රතික්ෂේප කළ හැකිද, සහ උපාංගය සමඟ කුමක් අසාර්ථක වේද යන කරුණු අනුව ඒවා සසඳන්න. පහත වගුව සාමාන්‍ය ප්‍රශ්නයක් වෙනුවට එම තීරු හතර භාවිත කරයි, මන්ද සෑම පිළිතුරක්ම වෙනම සැලසුම් තීරණයක් වන නිසා.
| Placement | What terminates there | What sees plaintext | Which control can still deny | Failure domain |
|---|---|---|---|---|
| Termination in a dedicated segment | A dedicated VPN endpoint | The endpoint and anything on its segment | The filter between that segment and the application | The segment path can bypass the filter if no rule sits on it |
| Termination on the edge firewall | The firewall's public listener | The firewall, after decapsulation | The firewall's inner rule set | Admission and inspection fail together |
| Termination on the protected LAN | The appliance's LAN leg | Every host on the protected LAN | Only a host control or a downstream gateway | The appliance and the protected hosts fail together |
තුන්වන ස්ථානය තමයි බලාත්මක කිරීම නිහඬව ඉවත් කරන්නේ, මන්ද ආරක්ෂිත කොටසේ කකුලක් උපාංගයට රූප සටහන නොපෙන්වන සෘජු මාර්ගයක් ලබා දෙන නිසා. පින්තූරය නොව, අතුරුමුහුණත් සහ මාර්ග පරීක්ෂා කරන්න: ip route get 10.20.5.10 පැකැට්ටුව පිටවන අතුරුමුහුණත වාර්තා කරයි, සහ පිළිතුර බොහෝ විට සැලසුම උපකල්පනය කළ එක නොවේ. පිහිටීම් අතර ගමනාගමනය පාලනය කරන ගිනි පවුරේ සම්භාව්‍ය භූමිකාව, පහත ලේඛනයේ විස්තර කර ඇති පරිදි,NIST SP 800-41 මෙහි ප්‍රයෝජනවත් පරීක්ෂණයකි, මන්ද ආරක්ෂිත ජාලයට අසීමිත කකුලක් ඇති උපාංගයක් වැඩි යමක් පාලනය නොකරයි. මාර්ග සෙවීම ඉදිරිපත් කිරීමේ රූප සටහනට වඩා අවංක රූප සටහනකි.
පරිපාලනය අයත් වන්නේ එහිම පැහැදිලිව අවසර දුන් මාර්ගයටය. පරිශීලකයන්ට යෙදුමකට ළඟා වීමට ඉඩ දීම කිසි විටෙකත් ඔවුන්ට උපාංගයේ පාලන අතුරුමුහුණතට ළඟා වීමට ඉඩ දීම ඉල්ලා නොසිටී, සහ අවසර දෙකම වෙනස් නීතිවලින් ලබා දිය යුතුය. මාර්ග දෙකම වෙන් වෙන්ව විගණනය කරන්න, මන්ද හවුල් නීතියක් කුමක් විවෘත වුණාද යන්න සඟවයි.
පරිවර්තනය පහළ නීතිවලට දැකිය හැකි දෙය වෙනස් කරයි
මූල පරිවර්තනය පහසු වන අතර එය තොරතුරු විනාශ කරයි. masquerade පසු සෑම සේවාලාභියෙක්ම උපාංගය මෙන් පෙනේ, එබැවින් පරිශීලකයන් වෙන් කිරීමට ලියූ පහළ නීතියකට තවදුරටත් එය කළ නොහැක. මෙය ලොග් කිරීමේ ගැටලුවක් පමණක් නොවේ, මෙය ප්‍රතිපත්ති ගැටලුවකි: සේවාලාභී ලිපිනය මත යතුරු කළ නීතියක් නිහඬව ගේට්ටුව මත යතුරු කළ නීතියක් බවට පත්වේ. පරිශීලක අනුව ප්‍රතිපත්තිය වැදගත් නම්, මූලය සුරකින්න හෝ පරිවර්තනයට පෙර ප්‍රතිපත්තිය බලාත්මක කරන්න.
පිළිතුරු මාර්ගය ද එම පරීක්ෂාවට සුදුසුය. ගමනාන්තය ආපසු පැකැට්ටුව සඳහා තෝරන මාර්ගය සටහන් කරන්න, මන්ද අසමමිතික ආපසු ඊම තත්ත්ව පරීක්ෂාව මඟ හරින අතර ස්ථාපිත වී පසුව නතර වන සම්බන්ධතාවයක් ඇති කරයි. දිශා දෙකම ඔබ ඇඳි මායිම තරණය කළ යුතුය, නැතිනම් මායිම අලංකාරයකි.
sudo tcpdump -ni inside0 host 10.20.5.10
ip route get 10.20.5.10
sudo iptables -t nat -S POSTROUTINGඅවසර දුන් සහ ප්‍රතික්ෂේප කළ මෙහෙයුමක් පිළිගන්න
කළමනාකරණ සත්කාරකයෙන් නොව, සැබෑ දුරස්ථ සේවාලාභියාගෙන් පරීක්ෂා කරන්න, මන්ද කළමනාකරණ සත්කාරකය සාමාන්‍යයෙන් වාඩි වන්නේ පරිශීලකයා කිසි විටෙකත් නොසිටින තැනකය. අවසර දුන් එක් මෙහෙයුමක් මාර්ගය ක්‍රියා කරන බව ඔප්පු කරයි, සහ ප්‍රතික්ෂේප කළ එකක් ප්‍රතිපත්තිය අවම වශයෙන් යමක් කරන බව ඔප්පු කරයි. සෑම ස්ථාන වෙනසකට පසුව දෙකම ධාවනය කරන්න, සහ ඔබ භාවිත කළ මූල අනන්‍යතාවය සහ ගමනාන්තය සටහන් කරන්න. සාර්ථකත්වය පමණක් ඔප්පු කරන පරීක්ෂණයකට නිවැරදි නීතියක් අස්ථානගත එකකින් වෙන් කළ නොහැක.
ඉන්පසු තත්ත්වය වෙනස් කරන අවස්ථා පරීක්ෂා කරන්න: නැවත සම්බන්ධ වීම, යතුරු භ්‍රමණය ඉක්මවා පවතින සැසියක්, සහ උපාංගයේම අසාර්ථකත්වය. යාවත්කාලීන, ධාරිතාව සහ ප්‍රකෘතිය එකම වින්‍යාසයේ කොටසක් ලෙස සසඳන්න, මන්ද තාර්කික පාලන කිහිපයක් දරන එක් උපාංගයක් ලේබල කිහිපයක් ඇති එකම අසාර්ථකත්ව වසමකි. හවුල් පරිපාලන අක්තපත්‍රයක් හෝ අසීමිත මාර්ගයක් එය නිර්මාණය කළ යුතු මායිම පරාජය කරන්නේ නම් දෙවන පෙට්ටිය ද ස්වාධීන නොවේ.
අන්ත ලක්ෂ්‍යය, විකේතනය කළ මාර්ගය සහ එය සීමා කරන පාලනය ලේඛනගත කරන්න. එම පේළි තුන ක්‍රියාත්මක කිරීමට කුමන නමක් දුන්නත් අර්ථවත්ව පවතී.