VPN nga sajti në sajt: cila drejtim ka vërtet nevojë për një rregull?

Të dy skajet raportojnë një tunel të vendosur, dega e largët përgjigjet nga porta, dhe aplikacioni ende skadon për përdoruesit në njërën anë. Këshilla e zakonshme është të shtoni një rregull firewalls në të dy drejtimet. Ndonjëherë është e saktë, ndonjëherë dublon një rregull që ekziston tashmë, dhe ndonjëherë rregulli i dytë është ai që thyen gjendjen. Cili rast vlen varet nga vendi ku firewalls e sheh paketën.

Trafiku i kthimit me gjendje ndryshon numrin

Një firewall me gjendje regjistron kërkesën dhe pranon përgjigjen pa një rregull të dytë, kështu që një dizajn që ka nevojë vetëm për një rregull është normal. Një listë aksesi pa gjendje nuk ka një memorie të tillë, dhe përgjigja duhet të lejohet në mënyrë eksplicite. Të dyja janë të sakta në platformën e tyre, prandaj këshillat kundërshtojnë njëra-tjetrën.

Lexoni dokumentacionin e përcjelljes për platformën përpara jush dhe kontrolloni nëse politika që po redaktoni është me gjendje atje ku e sheh paketën. Një mohim eksplicit për trafikun e vendosur, ose një renditje rregullash që vlerëson përgjigjen para tabelës së gjendjeve, e kthen një dizajn funksional në enigmë. Numri i rregullave është detaj implementimi, ndërsa kërkesa është që të dy drejtimet e një bisede të lejuar të mund të përfundojnë.

Ku firewalls i sheh paketat e dekriptuara

Në një tunel të bazuar në politika, firewalls mund të vlerësojë paketën e kriptuar para dekriptimit dhe paketën e dekriptuar pas tij, në ndërfaqe të ndryshme. Një rregull i shkruar për ndërfaqen e gabuar është i pranishëm, i saktë dhe nuk përputhet kurrë. Kështu një grup rregullash i kopjuar nga një vendosje funksionale mund të dështojë në harduer identik.

IPsec i bazuar në rrugëtim dhe shumica e implementimeve moderne ofrojnë një ndërfaqe tuneli, kështu që paketa e dekriptuar arrin atje dhe zbatohen rregullat normale të ndërfaqes. Konfirmoni cilin model përdor vendosja përpara se të kopjoni një grup rregullash nga një udhëzues i shkruar për tjetrin. Ndërfaqja e tunelit është gjithashtu vendi ku shikoni kur duhet të dini nëse një paketë u dekriptua fare.

Rrugëtimi asimetrik thyen supozimin

Një firewall me gjendje supozon se sheh të dyja gjysmat e bisedës. Nëse përgjigja kthehet përmes një porte tjetër, ai pajisje nuk mban gjendje për kërkesën dhe e hedh atë sipas politikës së vet. Simptomi është një dështim njëdrejtimësh që asnjë rregull në anën e dërguesit nuk mund ta rregullojë. Ndigni rrugën e përgjigjes përpara se të redaktoni çdo gjë.

Kontrolloni rrugën e përgjigjes përpara se të shtoni një rregull të gjerë lejimi në të dy anët. Tolerimi i gjithçkaje në çdo ndërfaqe fsheh gabimin e rrugëtimit dhe zgjeron aksesin në të njëjtën kohë, që është kombinimi më i keq i disponueshëm.

Kontrolloni të dy drejtimet me adresa reale burimore

Testoni me adresën që ana e largët vërtet vëzhgon, sepse përkthimi mund ta bëjë një rregull burimi të mos përputhet me asgjë. Ekzekutoni kapjen në të dy portat njëkohësisht.

tcpdump -ni any 'host 10.30.8.15 and tcp port 443'
nft list ruleset | grep -A 8 'chain forward'
ip route get 10.30.8.15
conntrack -L | grep 10.30.8.15

Një kërkesë që shfaqet në portën e largët me një adresë burimore të papritur shpjegon një rregull që nuk përputhet kurrë, dhe një përgjigje që arrin në ndërfaqen e gabuar shpjegon një mospërputhje gjendjeje. Më pas testoni një destinacion brenda fushës së miratuar dhe një jashtë saj, që kufiri të demonstrohet dhe jo të supozohet.

Regjistroni adresën burimore pas përkthimit, ndërfaqen që përdori paketa e dekriptuar, dhe rregullin që përputhej. Këto tre fakte i përgjigjen ticket-it të radhës pa përsëritur të gjithë hetimin.