Usafiri uliosimbwa hautoa ufikiaji kwa mbebaji

Lango mbili zilizoidhinishwa hubeba trafiki ya mtandao wa imani ya chini kupitia mtandao wa usafirishaji uliozuiwa. Kusimba mzigo hukuifanya isisomeke kwa waangalizi wa kawaida wa usafiri, na hiyo ni sehemu ambayo watu huibuni kwanza kisha huacha kuifikiria. Kile usimbaji fiche haufanyi ni kufafanua ni rasilimali gani upande wa imani ya chini unaweza kufikia. Ubunifu unahitaji mipaka miwili: mmoja kuzunguka mazungumzo yanayobebwa, na mmoja kuzunguka ufikiaji wa mbebaji mwenyewe.

Tekeleza hatua zifuatazo kwa mpangilio, na chukulia kushindwa kwa hatua yoyote kama mabadiliko ya ubunifu, si marekebisho ya usanidi.

Fafanua mipaka yote miwili kabla ya kugusa usanidi

Mpaka wa kwanza ni mazungumzo: jozi zipi za lango zinaweza kuanzisha handaki, na trafiki gani ya ndani inaruhusiwa kupita ndani yake. Ya pili ni mbebaji: anwani na huduma zipi wenyeji wa imani ya chini wanaweza kufikia nje ya handaki. Timu kwa kawaida hujenga ya kwanza na kurithi ya pili kutoka kwa uelekezaji wowote uliokuwepo, na hivyo ubunifu uliozuiwa huwa mpana kimya kimya. Urithi huo ndio sababu ya kawaida ya msingi wakati ukaguzi unapogundua mwenyeji wa imani ya chini akizungumza na kitu ambacho hakuna aliyekidhinisha.

Andika zote mbili kama orodha za anwani, bandari na mwelekeo. Ikiwa orodha haiwezi kuandikwa, mpaka bado haujafafanuliwa.

Hatua 1: zuia handaki la nje

Kwenye kiolesura kinachoelekea mbebaji, ruhusu tu kile handaki linahitaji: IKE kwenye UDP 500 na 4500 kati ya anwani mbili za lango, na ESP mahali ambapo upitaji wa NAT hautumiki. Kataa kila kitu kingine kinachofika kwenye kiolesura hicho, ikiwa ni pamoja na itifaki za usimamizi. Vipimo vya ESP hushughulikia huduma za ulinzi; havisemi chochote kuhusu huduma zipi za mbebaji wenyewe lango zinaweza kutumia. Eleza hilo kama orodha ya ruhusa iliyo wazi, ili huduma ya mbebaji iliyochapishwa hivi karibuni isiweze kufikiwa kwa chaguo-msingi.

Hii ndiyo seti ya kanuni inayofanya ubunifu kuwa ubunifu wa usafiri na si mpango wa peering.

Iangalie kutoka upande wa imani ya chini, si kutoka konsoli ya lango. Mwenyeji huko anapaswa kushindwa kufikia seva ya DNS ya mbebaji hata kabla handaki halijainuliwa.

Hatua 2: amua kile lango la mbali linawasilisha

Kwenye mwisho wa mbali, trafiki iliyorejeshwa lazima iende mahali maalum. Fafanua huduma zipi za ndani zinaruhusiwa, kutoka safu zipi za chanzo, na ikiwa majibu yanatarajiwa kuwa na ulinganifu. Kagua ufikiaji wa usimamizi kando, kwa sababu lango hilo hilo mara nyingi huweka wazi kiolesura cha kiutawala ambacho hakikuwa sehemu ya mpango wa usafiri.

Mchoro unaoishia kwenye usimbuaji uliofanikiwa umeacha uamuzi ambao ni muhimu zaidi.

Hatua 3: dumisha umiliki kwa kila tabaka

Vifaa vya usafiri bado hupokea na kusambaza pakiti za nje, kwa hiyo vinahitaji viraka na upangaji wa uwezo. Ncha za handaki huchakata itifaki iliyolindwa na kufichua trafiki ya ndani kwa njia yao ya usambazaji, kwa hiyo zinahitaji kanuni zao na ufuatiliaji wao. Programu za mwisho huchakata mzigo, na mzigo usio wazi si ushahidi kwamba upakuaji uliosimbuliwa hauna madhara.

Teua mmiliki kwa kila tabaka. Tabaka zisizo na mmiliki ndizo zinazoteleza.

Hatua 4: thibitisha, kisha ukabidhi kwa mamlaka

Thibitisha njia ya nje wakati handaki limeinuliwa na kanuni za mbebaji zipo. Kisha jaribu kila rasilimali ambayo upande wa imani ya chini haupaswi kufikia na uthibitishe kwamba kushindwa ni kukataliwa, si muda kuisha unaoficha njia. Angalia pia upatikanaji na mipaka ya rasilimali, kwa sababu kiungo kilichosimbwa kinaweza pia kujaa.

Kwa mazingira yanayodhibitiwa au yaliyowekwa daraja, peleka ubunifu kwa mamlaka inayohusika ya usalama na utumie usanifu wake wa utenganishaji ulioidhinishwa. Usanidi wa VPN na maelezo ya dhana hayaanzishi ithibati. Hatua hiyo si karatasi; inaamua ikiwa ubunifu unaruhusiwa kuwepo kabisa.