VPN මගින් සම්බන්ධිත කාර්යාල දෙකක් අතර ප්‍රවේශය සීමා කරන ආකාරය

සයිට්-සයිට් ටනලයක් එක් ප්‍රශ්නයකට පිළිතුරු දෙයි, කාර්යාල දෙකට පැකට් හුවමාරු කළ හැකිද යන්න, සහ වැදගත් ප්‍රශ්නය විවෘතව තබයි: කුමන ශාඛා උපාංගයට කුමන මධ්‍යම සේවාවට ළඟා විය හැකිද. ටනලය අන්‍යෝන්‍ය විශ්වාසයක් ලෙස සැලකීම නිසා අමුත්තන්ගේ ලැප්ටොප් එකක් මූල්‍ය සේවාදායකයේම මාර්ගයට පැමිණේ. විසඳුම වඩා හොඳ ටනලයක් නොවේ, විකේතනයෙන් පසු බලාත්මක කරන පැහැදිලි අවසර ලැයිස්තුවකි. මෙම මාර්ගෝපදේශය එම ලැයිස්තුව නිර්වචනයේ සිට ඔප්පු කළ ප්‍රතික්ෂේපයක් දක්වා ගෙන යයි.

මෙම අනුපිළිවෙලින් වැඩ කරන්න, පහත ප්‍රතිපත්ති පියවර සමත් වන තුරු ටනල මාර්ගය පුළුල් නොකරන්න.

ගේට්වේ ස්පර්ශ කිරීමට පෙර න්‍යාසය ලියන්න

ප්‍රයෝජනවත් පේළියක් කරුණු තුනක් නම් කරයි: මූලාශ්‍ර කණ්ඩායම, ගමනාන්ත සත්කාරකය හෝ සේවා ජාලය, සහ යෙදුම සැබවින්ම භාවිතා කරන ප්‍රොටෝකෝලය සහ වරාය. ශාඛාව සහ දත්ත මධ්‍යස්ථානය සටහන් නොවේ. පුද්ගලික DNS සහ සත්‍යාපන සේවා තමන්ගේම පේළි ලබා ගන්නේ යෙදුම ඒවා නොමැතිව ක්‍රියා කළ නොහැකි විට පමණි.

මූලාශ්‍ර උපජාල පහසුව අනුව නොව භූමිකාව අනුව කාණ්ඩ කරන්න: කාර්ය මණ්ඩලය, අමුත්තන්, පරිපාලනය. තුනම එකම පැතලි LAN එකක් බෙදා ගන්නා විට ගේට්වේට ජාල ස්තරයේදී ඔවුන් වෙන් කර හඳුනාගත නොහැක, එබැවින් අනන්‍යතා පාලනය හෝ කොටස්කරණය පළමුව ආ යුතුය. පසුව සෑම පේළියකම හිමිකරුවෙකු සහ සමාලෝචන දිනයක් සමඟ න්‍යාසය ලිඛිතව තබන්න.

පැකට් විකේතනය වන තැනම බලාත්මක කරන්න

IKE සහ ESP අවසර දෙන නීති ගොඩනඟන්නේ පිටත ටනලය පමණි. අභ්‍යන්තර රථවාහනය ටනල අතුරුමුහුණතට විවෘතව පැමිණේ, අවසර ලැයිස්තුවේ ස්ථානය එහිමය: විකේතනය කරන උපාංගයේ යැවීම් දාමය, පෙරනිමි බැහැර කිරීම, න්‍යාසයේ සෑම පේළියකටම එක් නීතියක්. Linux ගේට්වේවල මෙයින් අදහස් වන්නේ යැවීම සක්‍රීය බවත් පෙරහන් නීති භෞතික සබැඳියේ නොව ටනල උපාංගයේ පවතින බවත්ය, එසේ පැහැදිලි කරයි strongSwan යැවීම් මාර්ගෝපදේශය.

රථවාහන තේරීම්කරුවන් යනු මාර්ගගත කිරීමේ තීරණයකි, අවසර දීමේ තීරණයක් නොවේ. උපජාල දෙකම ආවරණය කරන පුළුල් තේරීම්කරුවෙකු මාර්ගගත කිරීමට නිවැරදි විය හැකි අතර ගිනිපවුර තවමත් එක් සත්කාරකයකට TCP 443 පමණක් අවසර දෙයි. තේරීම්කරුවා ටනලය සඳහා සාකච්ඡා කරනු ලබන අතර එයට ඇතුළු විය හැකි දේ විස්තර කරයි, ලබා දී ඇති උපාංගයකට භාවිතා කළ හැකි දේ නොවේ. තේරීම්කරුවා පුළුල් බැවින් කිසි විටෙක ගිනිපවුරු නීතිය පුළුල් නොකරන්න.

iptables -A FORWARD -i tun0 -s 10.20.0.0/24 -d 10.10.5.10 -p tcp --dport 443 -j ACCEPT
iptables -A FORWARD -i tun0 -j DROP

NAT සහ අතිච්ඡාදනය වන උපජාල නීති වෙනස් කරයි

ශාඛා ගේට්වේ ටනලයට පෙර සෑම සත්කාරකයක්ම එක් ලිපිනයකට පරිවර්තනය කරන විට, මූලාශ්‍රය පදනම් කරගත් සෑම පේළියක්ම එම එක් ලිපිනයට කඩා වැටේ. එක්කෝ ටනල රථවාහන පරිවර්තනය නවත්වන්න, නැතහොත් නීති වෙනත් දෙයක් මත, උදාහරණයක් ලෙස පරිවර්තනයට පෙර සටහන් කළ මුල් මූලාශ්‍ර ලිපිනය මත රඳා පැවතිය යුතු බව පිළිගන්න. දුර කෙළවරටද එම ගැටලුවම ඇත, මන්ද ගමනාන්ත සත්කාරකය මුල් ලිපිනය නොව NAT පසු ලිපිනය දකියි.

අතිච්ඡාදනය වන පරාස දෙවන උගුලයි. දෙකම 192.168.1.0/24 භාවිතා කරන කාර්යාල දෙකක් එක් පැත්තක් සිතියම් නොකර එක් ප්‍රතිපත්ති වගුවක විස්තර කළ නොහැක, සිතියම්කරණය ගැටුම් රහිත ලිපිනකරණයට ආදේශකයක් නොවේ. පසුව ලිහා දැමිය යුතු නීති ලිවීමට පෙර සැලැස්ම නිවැරදි කරන්න.

ප්‍රතික්ෂේපයක් ඔප්පු කරන්න, සාර්ථකත්වය පමණක් නොවේ

අවසර දී ඇති යෙදුම පමණක් පරීක්ෂා කිරීම ඉතා අල්පයක් ඔප්පු කරයි, මන්ද ඉහළින් කොහේ හෝ ඇති ලිහිල් නීතියක් එම ප්‍රතිඵලයම ලබා දෙයි.

සාමාන්‍ය ශාඛා උපාංගයක සිට අදහස් කළ සේවාවට ළඟා වී මුළු සැසියම ක්‍රියා කරන බව තහවුරු කරන්න. පසුව වසා තැබිය යුතු ගමනාන්තයක් උත්සාහ කරන්න, උදාහරණයක් ලෙස ශාඛාවට කිසිදු සම්බන්ධයක් නැති සේවාදායකයක පරිපාලන වරාය, සහ එය ඉවත දැමූ ගණනය හෝ ලොග සටහන කියවන්න. නීති කට්ටලය ක්‍රියා කරන්නේදැයි බැලීමට එය අක්‍රීය කිරීම පරීක්ෂණය අවලංගු කර, ඔබ බලන අතරතුර ගේට්වේ විවෘතව තබයි.

ලැයිස්තුව ජීවමානව තබා ගන්න

යෙදුම් සෙලවෙයි, තමන්ගේ යෙදුමට වඩා දිගු කල් ජීවත් වන නීතියක් කිසිවෙකුට හිමි නොවන සිදුරක් බවට පත් වේ. සමාලෝචන දිනය පේළියට සම්බන්ධ කරන්න, සේවාවක් ලිපිනය මාරු කරන විට එම නඩත්තු පියවරේදීම තේරීම්කරුවාගේ විෂය පථය සහ ගිනිපවුරු නීතිය වෙනස් කරන්න.

ටනලයට පිටුපසින්ද සත්කාරක මට්ටමේ සීමා වැදගත් වේ: සේවාදායකයේම ගිනිපවුර ශාඛා පරාසය පිළිගත යුත්තේ එය ප්‍රකාශයට පත් කරන සේවාවට පමණි. එකඟ වන ස්තර දෙකක් සම්පූර්ණයෙන් විශ්වාස කරන එක් ස්තරයකට වඩා විගණනය කිරීම පහසුය.