Baada ya kufungua: sera ipi inaona trafiki yako ya VPN kwanza

Mtiririko wa VPN unaweza kuwa umesimbwa kikamilifu na kuthibitishwa kikamilifu na bado ukaishia mahali ambapo hakuna aliyepanga. Kebo unayoingiza haiamui ni kanuni ipi inachakata pakiti ya ndani; ndoano ya sera na njia ndizo zinazoamua. Kwa hiyo miundo miwili inayofanana kwenye mchoro wa rack inaweza kuwa na utekelezaji tofauti kabisa. Kuchagua kati yao huanza kwa kutaja udhibiti unaoona mtiririko uliofunguliwa kwanza.

Amua kwa ndoano ya sera, si kwa lango la kebo

Kila jukwaa la VPN hutathmini trafiki iliyofunguliwa mahali fulani kabla ya kuisambaza, na mahali hapo pana jina katika usanidi. Kwenye jukwaa moja ni kichujio cha sera ya kundi, kwa lingine ni sera ya kiolesura au jozi ya kanda, na kwenye kifaa kinachoelekeza huenda ni mnyororo wa forward tu. Ndoano ndiyo hutekeleza kanuni, ilhali lango la swichi ni mahali kebo inapoishia tu. Kupata ndoano ni uamuzi wa kwanza, kwa sababu kila kitu kingine ni upangaji kuhusiana nayo.

Kabla ya kuangalia maunzi, andika mtiririko: chanzo ni nani, unakwenda wapi, itifaki ipi inaubeba na huduma ipi inaruhusiwa. Kisha pata udhibiti unaotekeleza kila moja ya ukweli huo manne.

Njia mbili, simulizi mbili tofauti za utekelezaji

Aina mbili ni za kawaida na kila moja inaweza kuwa sahihi kwa hitaji tofauti.

endpoint -> shared inside subnet -> server
endpoint -> dedicated transit -> policy firewall -> server subnet

Aina ya kwanza inaweza kutekeleza kila kitu kinachohitajika kwenye lango kuu, mradi sera ya lango imeandikiwa lengo hilo na seva haina njia ya kuizunguka. Aina ya pili inaongeza mpaka, lakini tu ikiwa njia na sera zinaifanya trafiki ipite humo kwa kweli. Seva iliyo kwenye sehemu moja na mwisho inaweza kutofuata kamwe hatua ya kati iliyofikiriwa. Mchoro unaonyesha nia, na jedwali la njia linaonyesha kinachotokea.

Thibitisha kwa utafutaji wa njia, si kwa mchoro. Kiolesura ambacho pakiti inatoka na hatua inayofuata inayochagua huamua ikiwa aina ya pili inafanya kazi kama ilivyoundwa.

ip route get 10.30.7.20
sudo iptables -S FORWARD
sudo tcpdump -ni inside0 host 10.30.7.20

Tenganisha topolojia na kutengwa

Kushiriki subnet hakufanyi mahali kuwa si ya kuaminika, na usafiri maalum haufanyi kuwa na ulinzi. Kinachoamua ni kizuizi kinachotumika kweli, usambazaji unaotokea kweli na nani anasimamia kila sehemu. Kuhesabu swichi hakusemi chochote kuhusu yoyote ya matatu. Amua kutokana na sera na njia, na topolojia ifuate uamuzi.

Shughulikia pia makundi ya trafiki kwa mbalimbali. Mabwawa ya ufikiaji wa mbali, viambishi vya tovuti-hadi-tovuti na mitandao ya laini za kibinafsi vinaweza kushiriki kifaa kimoja na bado kuhitaji kanuni tofauti, kwa sababu utambulisho na hatari zao ni tofauti. Kanuni iliyoandikiwa kundi moja hufunika mengine kimya kimya zinaposhiriki mpango wa anwani.

Kagua kushindwa na usimamizi kwa kila eneo

Kila eneo lina namna ya kushindwa, na swali lenye faida ni kile kinachoendelea kufanya kazi wakati sehemu inasimama. Violesura kadhaa vya kimantiki kwenye kifaa kimoja kilichokufa havitoi urejeshaji wa kujitegemea, na firewall ya chini inayoshiriki umeme mmoja au msimamizi mmoja si mpaka wa pili. Uliza njia ya usimamizi inapita wapi, kwa sababu konsoli inayofikiwa tu kwa njia ya handaki si njia ya urejeshaji hata kidogo; ssh [email protected] true kutoka nje ya handaki ndiyo njia ya bei nafuu ya kuthibitisha kuwa konsoli haitegemei hilo. Nyaraka za sera ya kundi za jukwaa moja huweka kichujio chake kwenye trafiki baada ya kufungua na kabla ya kusimba, ambayo ni aina hiyo ya ndoano yenye jina inayopaswa kutafutwa katika bidhaa yoyote.

Andika simulizi la kushindwa kwa kila mgombea kando ya simulizi la utekelezaji. Eneo linaloshinda kwenye ukaguzi na kushindwa kwenye urejeshaji ni ubadilishanaji, na linapaswa kurekodiwa hivyo badala ya kugunduliwa wakati wa tukio.

Kubali kwa mtiririko unaoruhusiwa na unaokataliwa

Ukiwa na mpango wa majaribio ulioidhinishwa, kagua mambo matatu kutoka chanzo halisi cha VPN: programu inayopaswa kufanya kazi, rasilimali isiyopaswa, na mwelekeo jibu linaporudi. Kukataliwa ni ushahidi kwamba sera imehusika, ilhali mtiririko unaoruhusiwa unathibitisha tu kuwa njia ipo.

Hifadhi njia iliyochaguliwa na matokeo ya sera pamoja, kwa sababu matokeo bila njia hayawezi kuzalishwa tena na njia bila matokeo haiwezi kutetewa. Jozi hilo lina faida zaidi kwa kuchagua sehemu ya kushikamana kuliko madai yoyote kuhusu tabaka la swichi lenye usalama wa asili.