Trafiku i klientit VPN dhe gjendja e firewall-it: rrjedha e jashtme dhe e brendshme

Shtrëngimi i duarve i VPN përfundon, klienti merr një adresë, dhe një shërbim pas portës vazhdon të refuzojë lidhjen. Firewall-i shpesh bën saktësisht atë që i është thënë. Ai lejoi rrjedhën e jashtme të tunelit, e cila është një paketë e ndryshme nga lidhja e aplikacionit e dekapsuluar. Nga kjo rrjedhin dy vendime: cilën rrjedhë po lejoni dhe nëse kufiri ndjek gjendjen fare.

Derisa t'i ndani këto dy, çdo ndryshim rregulli është hamendje.

Firewall-i sheh dy paketa të ndryshme

Përpara dekapsulimit, firewall-i sheh trafik të adresuar drejt pikës fundore VPN: një rrjedhë UDP të jashtme drejt dëgjuesit. Pas dekapsulimit, një paketë e përcjellë mban adresën e brendshme të klientit dhe destinacionin e shërbimit.

Një leje për rrjedhën e jashtme nuk autorizon lidhjen TCP të përcjellë. Ato mund të vlerësohen në zinxhirë të ndryshëm, ndaj ndërfaqeve të ndryshme dhe me adresa të ndryshme pas përkthimit.

Krahasoni kapjet nga pozicione ekuivalente në të dyja anët. Një kapje në skajin e tunelit dhe një kapje në server tregojnë tuple të ndryshme për të njëjtën sesion.

Vendimi i parë: të lejohet tuneli apo shërbimi

Nëse klienti ka nevojë vetëm për pikën fundore VPN, leja e jashtme mund të mjaftojë. Nëse i duhet një shërbim përtej portës, ju nevojitet një leje përcjelljeje për atë destinacion dhe portë. Një rregull tuneli që lejon edhe shërbimin është një zgjedhje projektimi që duhet ta emërtoni, jo një aksident.

Mbani të ngushtë gamën e klientit dhe shtrirjen e shërbimit. Një leje nga nënrrjeti i tunelit drejt të gjithë rrjetit lokal është një vendim për të besuar çdo host, jo një shkurtore për një aplikacion.

Shkruani të dy rregullat veçmas. Rregulli i tunelit dhe rregulli i shërbimit dështojnë në mënyra të ndryshme dhe korrigjohen me prova të ndryshme. Kur njëri dështon, ju e dini cilin shtresë të inspektoni së pari.

Vendimi i dytë: me gjendje ose pa gjendje në çdo kufi

Një rregull për rrjedhë të vendosur mund të lejojë përgjigjet për një shkëmbim të lejuar, por sjellja e tij varet nga produkti. Një grup sigurie në re zakonisht mban gjendjen; një listë kontrolli e nënrrjetit shpesh nuk e mban dhe kërkon trajtim të qartë në të dy drejtimet. Mos supozoni se çdo kufi në rrugë e trajton gjendjen në të njëjtën mënyrë. Renditni çdo kufi dhe shënoni atë me ose pa ndjekje të gjendjes përpara se të projektoni rregullat.

Nëse një rregull ndryshon, rrjedhat ekzistuese të ndjekura mund të vazhdojnë të punojnë ndërsa ato të reja dështojnë, ose e kundërta. Ky ndryshim është një të dhënë e dobishme, jo një arsye për të zbrazur gjithë gjendjen e lidhjeve në një portë aktive.

Provoni me një kërkesë të re të kontrolluar dhe inspektoni numëruesit përkatës. Një provë e pastër është më e mirë se një rivendosje shqetësuese. Shënoni emrin e numëruesit në regjistrin e ndryshimeve, që prova tjetër të përdorë të njëjtat prova.

Verifikoni rrugën e kthimit nën të njëjtën politikë

Dërgoni një kërkesë të re nga klienti te shërbimi, më pas kontrolloni numëruesit e shkuarjes dhe të kthimit në çdo kufi. Konfirmoni se përgjigja përdor rrugën që prisni, sidomos nëse përfshihet përkthimi.

Mbani të ngushtë gamën e synuar të klientit dhe shtrirjen e shërbimit, dhe verifikoni rrugën e kthimit nën të njëjtin grup rregullash që lejoi kërkesën. Një rregull që punon vetëm sepse një rrjedhë e vjetër është ende e hapur nuk është rregull që punon.