Firewall ya wingu dhidi ya firewall ya mwenyeji kwa seva ya VPN

Ruhusu mlango wa VPN katika sera ya wingu na mkonoo bado unaweza kufa kwenye instansi: mgeni anaendesha kichujio chake na kiunganishi chake cha msikilizaji, na yoyote kati yao inaweza kutupa kile wingu lililoidhinisha. Jambo lingine pia hutokea, pale kanuni ya mwenyeji inaruhusu mlango na sera ya juu inautupa kwanza. Wamiliki wawili, seti mbili za kanuni, njia moja ya pakiti. Ipitishe kwa mpangilio badala ya kukisia kwenye tabaka linalotiliwa shaka zaidi.

Anza ukingoni na uende ndani

Mpangilio ni thabiti: kituo cha mwisho cha umma, interface ya rasilimali, sera ya wingu iliyounganishwa, anwani ya mgeni, msikilizaji wa mchakato, kanuni za pembejeo za ndani. Kila hatua hupitisha pakiti au huhitimisha uchunguzi, ndiyo maana kuanza kwa mgeni hupoteza muda mwingi zaidi.

Trafiki ya mteja inayopelekwa mbele ni hatua tofauti, inayochunguzwa baada ya handaki kufunguliwa. Tabaka la wingu huona handaki la nje pekee, kwa hivyo linaweza kuidhinisha muunganisho na bado lisihusiane kabisa na ombi la huduma ya ndani. Handaki inayounganika lakini haifikii mwenyeji wa ndani kawaida huonyesha upelekaji mbele, si mlango uliofungwa.

Soma sera ya wingu kabla ya kugusa mgeni

Thibitisha kanuni ya kuingia kwa mlango wa VPN, itifaki yake na wigo wa chanzo unaolingana na mteja wako wa majaribio. Angalia pia orodha ya udhibiti wa ufikiaji wa subneti: kichujio cha pili chenye kanuni zake na chaguo-msingi vyake. Vyote viwili lazima viruhusu mtiririko kabla pakiti haijafika kwenye instansi. Kuruhusu kimoja na kukataa kingine ndio umbo la kawaida la hitilafu hii.

Punguza wigo hadi uwe na maana. Kufungua mlango wa VPN kwa intaneti yote ni rahisi kuthibitisha na vigumu kuitetea, wakati kanuni iliyobandikwa kwenye anwani moja huvunjika mteja wako wa majaribio anapobadilisha mtandao. Andika kitambulisho cha kanuni na mmiliki wa sera, ili mabadiliko yajayo yaweze kufuatiliwa hadi kwa mtu.

Thibitisha msikilizaji, kisha mnyororo wa pembejeo

Kwenye instansi, angalia kama mchakato wa VPN umeunganishwa na anwani na mlango unaotarajia, kwa mfano kwa ss -lntp 'sport = :1194'. Daemon iliyounganishwa na 127.0.0.1 pekee hupokea wateja wa ndani na hakuna chochote kupitia handaki, jambo ambalo kwa nje linaonekana kama mlango uliochujwa.

Kisha soma kanuni za ndani katika sintaksia ambayo ungetumia kuzibadilisha, kama iptables -S INPUT au nft list chain inet filter input. Kanuni iliyoandikwa kwenye faili lakini haijawahi kupakiwa, au utupaji-msingi usio na ruhusa inayolingana, hutupa pakiti kimya kimya. Kwa lango linalopeleka mbele, angalia pia mipangilio ya upelekaji na njia ya kurudi. Ndiyo huamua kinachotokea kwa pakiti zinazopitishwa kupitia instansi na si kuelekezwa kwake.

Yenye hali katika tabaka moja, isiyo na hali katika linalofuata

Vikundi vya usalama hukumbuka mtiririko waliouruhusu na huruhusu majibu kurudi ndani. Orodha za udhibiti wa ufikiaji wa subneti na firewall nyingi za mwenyeji hazihifadhi hali kama hiyo, kwa hivyo kanuni inayoshughulikia mwelekeo wa kutoka pekee hupitisha ombi na kutupa jibu. Kamwe usibebe dhana kuhusu trafiki ya kurudi kati ya tabaka bila kusoma kanuni ya tabaka la pili (second layer's rule).

Vihesabu huamua hili haraka kuliko kusoma kila kanuni katika akaunti. Kihesabu kinachopanda kinamaanisha pakiti ilifika na kutupwa hapo, wakati kilichogandishwa kwa sifuri kinamaanisha haikufika huko kabisa; iptables -vnL INPUT na nft list ruleset huonyesha namba hizo wakati kanuni zilipakiwa na vihesabu.

Jaribu kwa kipindi kipya, si cha moja kwa moja

Acha mtandao wa chanzo na wasifu wa majaribio kama ulivyo unapolinganisha mitazamo, na ufungue muunganisho mpya baada ya kila mabadiliko. Kufikia konsoli ya wavuti kwenye 443 hakuambii kitu kuhusu kama daemon ya VPN imeunganishwa na 1194, kwa hivyo jaribu mlango unaouhitaji. Kipindi kilichopo ni shahidi mbaya zaidi hapa. Kinaendelea kufanya kazi wakati kila kuingia mpya kunakataliwa.

Kabla ya kuhariri sera ya mbali, hakikisha njia ya kurudi isiyotegemea njia unayobadilisha. Kisha fungua kipindi cha pili cha usimamizi kando ya jaribio la VPN: kile kilichoanzishwa mapema kinaweza kuishi zaidi ya kanuni inayozuia vipya. Andika wamiliki wa sera zote mbili ili hakuna ujenzi upya unaorejesha nusu ya njia; ikiwa tabaka zote mbili zinakubaliana na handaki bado inashindwa, nasa kwenye interface ya mgeni na uangalie anwani na mlango ambao mteja anautumia kweli.