Promet odjemalca VPN in stanje požarnega zidu: zunanji in notranji tok

Rokovanje VPN se zaključi, odjemalec dobi naslov, storitev za prehodom pa povezavo še vedno zavrača. Požarni zid pogosto počne natanko to, kar mu je bilo rečeno. Dovolil je zunanji tok tunela, ki je drug paket kot dekapsulirana povezava aplikacije. Iz tega sledita dve odločitvi: kateri tok dovoljujete in ali meja sploh spremlja stanje.

Dokler teh dveh ne ločite, je vsaka sprememba pravila ugibanje.

Požarni zid vidi dva različna paketa

Pred dekapsulacijo požarni zid vidi promet, naslovljen na končno točko VPN: zunanji tok UDP do poslušalca. Po dekapsulaciji posredovani paket nosi notranji naslov odjemalca in cilj storitve.

Dovoljenje za zunanji tok ne pooblašča posredovane povezave TCP. Lahko se ocenjujeta v različnih verigah, na različnih vmesnikih in z različnimi naslovi po prevajanju.

Primerjajte zajeme iz enakovrednih položajev na obeh straneh. Zajem na robu tunela in zajem na strežniku kažeta različne tuple za isto sejo.

Prva odločitev: dovoliti tunel ali storitev

Če odjemalec potrebuje le samo končno točko VPN, lahko zunanje dovoljenje zadostuje. Če potrebuje storitev za prehodom, je potrebno dovoljenje za posredovanje do tega cilja in vrat. Pravilo tunela, ki dovoljuje tudi storitev, je oblikovalska odločitev, ki jo morate poimenovati, ne nesreča.

Obdržite obseg odjemalca in obseg storitve ozka. Dovoljenje od podomrežja tunela do celotnega lokalnega omrežja je odločitev za zaupanje vsakemu gostitelju, ne bližnjica za eno aplikacijo.

Zapišite obe pravili ločeno. Pravilo tunela in pravilo storitve odpovedujeta na različne načine in se razhroščujeta z različnimi dokazi. Ko eno odpove, veste, kateri sloj pregledati najprej.

Druga odločitev: s stanjem ali brez njega na vsaki meji

Pravilo za vzpostavljen tok lahko spusti odgovore za dovoljeno izmenjavo, vendar je njegovo vedenje odvisno od izdelka. Varnostna skupina v oblaku običajno spremlja stanje; seznam za nadzor dostopa podomrežja pogosto ne spremlja in zahteva izrecno obravnavo v obe smeri. Ne predpostavljajte, da vsaka meja na poti obravnava stanje enako. Naštejte vsako mejo in jo označite s spremljanjem stanja ali brez njega, preden oblikujete pravila.

Če se pravilo spremeni, obstoječi sledeni tokovi lahko še naprej delujejo, medtem ko novi odpovedujejo, ali obratno. Ta razlika je koristen namig, ne razlog za izpraznitev celotnega stanja povezav na delujočem prehodu.

Preizkusite s svežo nadzorovano zahtevo in preglejte ustrezne števce. Čist preizkus je boljši od motečega ponastavitve. Zapišite ime števca v zapis o spremembi, da bo naslednji preizkus uporabil enake dokaze.

Preverite povratno pot pod isto politiko

Pošljite novo zahtevo od odjemalca do storitve, nato preverite števce naprej in nazaj na vsaki meji. Potrdite, da odgovor uporablja pričakovano pot, zlasti če je vključeno prevajanje.

Obdržite predvideni obseg odjemalca in obseg storitve ozka ter preverite povratno pot pod istim naborom pravil, ki je dovolil zahtevo. Pravilo, ki deluje le zato, ker je stari tok še odprt, ni delujoče pravilo.