Саобраћај VPN клијента и стање заштитног зида: спољни и унутрашњи ток

Руковање VPN-а се завршава, клијент добија адресу, а услуга иза пролаза и даље одбија везу. Заштитни зид често ради тачно оно што му је речено. Дозволио је спољни ток тунела, који је други пакет од декапсулиране везе апликације. Из тога следе две одлуке: који ток дозвољавате и да ли граница уопште прати стање.

Док не раздвојите то двоје, свака промена правила је нагађање.

Заштитни зид види два различита пакета

Пре декапсулације заштитни зид види саобраћај адресиран на крајњу тачку VPN-а: спољни ток UDP ка слушаоцу. После декапсулације прослеђени пакет носи унутрашњу адресу клијента и одредиште услуге.

Дозвола за спољни ток не овлашћује прослеђену везу TCP. Оне се могу оцењивати у различитим ланцима, према различитим интерфејсима и са различитим адресама после превођења.

Упоредите снимке са еквивалентних позиција на обе стране. Снимак на ивици тунела и снимак на серверу показују различите торке за исту сесију.

Прва одлука: дозволити тунел или услугу

Ако клијенту треба само сама крајња тачка VPN-а, спољна дозвола може бити довољна. Ако му треба услуга иза пролаза, потребна је дозвола за прослеђивање ка том одредишту и порту. Правило тунела које дозвољава и услугу је пројектна одлука коју треба да именујете, а не случајност.

Држите опсег клијента и обим услуге уским. Дозвола од подмреже тунела ка целој локалној мрежи је одлука да верујете сваком домаћину, а не кратица за једну апликацију.

Запишите оба правила одвојено. Правило тунела и правило услуге отказују на различите начине и отклањају се различитим доказима. Када једно откаже, знате који слој прво да проверите.

Друга одлука: са стањем или без њега на свакој граници

Правило за успостављени ток може да пропусти одговоре за дозвољену размену, али његово понашање зависи од производа. Облачна безбедносна група обично прати стање; листа за контролу приступа подмреже често не прати стање и захтева изричито руковање у оба смера. Не претпостављајте да свака граница на путу третира стање исто. Наведите сваку границу и означите је са или без праћења стања пре него што пројектујете правила.

Ако се правило промени, постојећи праћени токови могу наставити да раде док нови отказују, или обрнуто. Та разлика је користан траг, а не разлог да испразните целокупно стање веза на активном пролазу.

Тестирајте новим контролисаним захтевом и проверите одговарајуће бројаче. Чист тест је бољи од ометајућег ресетовања. Запишите име бројача у запис о промени, да следећи тест користи исте доказе.

Проверите повратни пут под истом политиком

Пошаљите нови захтев од клијента ка услузи, затим проверите бројаче напред и назад на свакој граници. Потврдите да одговор користи пут који очекујете, посебно ако је укључено превођење.

Држите предвиђени опсег клијента и обим услуге уским и проверите повратни пут под истим скупом правила који је дозволио захтев. Правило које ради само зато што је стари ток још отворен није исправно правило.