Nini cha kurekodi kwa VPN kati ya maeneo: viteuzi na wigo

Miezi sita baada ya handaki kuwekwa, subnet mpya inaacha kuendana na sera na hati pekee kwenye hifadhi ya pamoja inasema VPN ya ofisi. Hilo ndilo kosa ambalo rekodi ya viteuzi huzuia, na ni mahususi: seti ya anwani ilibadilika wakati nyaraka hazikubadilika. Kuandika rekodi ipasavyo kunamaanisha kujua ni seti ipi kati ya seti kadhaa za anwani unazoeleza, na kurekodi ile ambayo upande mwingine unatekeleza kweli, si ile uliyoiweka.

Kilichowekwa si kilichojadiliwa

Katika handaki la IPsec lenye msingi wa sera, kila upande unapendekeza viteuzi vya trafiki: safu za chanzo na lengwa kwa muungano wa mtoto. Upande unaojibu unaruhusiwa kupunguza pendekezo hilo, hivyo muungano uliosakinishwa unaweza kufunika kidogo kuliko inavyoorodhesha usanidi. Rekodi inayonakili usanidi inaeleza nia, si wigo wa ulinzi wa sasa. Vyote viwili hutengana kimyakimya, na hakuna kitu kwenye ukurasa wa hali ya handaki kinachoonyesha hilo.

Weka safu wima zote mbili, pamoja na tarehe uliyoziona. Kiteuzi kilichowekwa ndicho ulichokusudia; kilichojadiliwa ndicho kernel inatekeleza sasa hivi. Zinapotofautiana, tofauti hiyo hueleza hitilafu ya kushtukiza mara nyingi zaidi kuliko hitilafu ya uelekezaji.

Muungano mmoja pia hauwakilishi kila jozi iliyowekwa. Handaki lenye michanganyiko kadhaa ya viteuzi linaweza kuishia na miungano kadhaa ya watoto, na rekodi inayoorodhesha mmoja wao ni orodha isiyokamilika. Yahesabu moja moja badala ya kuyafupisha.

Handaki zenye msingi wa njia huchagua kwa namna tofauti

Kwa kiolesura chenye msingi wa njia, jedwali la uelekezaji huamua kinachoinglea handakini na viteuzi vinaweza kuwa vipana kwa makusudi. Hii ni muundo halali na si uzembe, na rekodi lazima ieleze hivyo. Andika njia, kiolesura inachoelekeza, na sera ya firewall inayoweka kikomo cha huduma zinazofikika. Wigo wa ulinzi ni mpana kwa makusudi, na upunguzaji hufanywa na wigo wa huduma.

Kunakili kiolezo chenye msingi wa sera kwenye handaki lenye msingi wa njia hutoa hati inayoeleza utaratibu ambao usambazaji hautumii. Mhandisi anayefuata hatafuta viteuzi ambavyo havikupaswa kuwepo kamwe, na huhitimisha kuwa handaki limewekwa vibaya wakati limeandikwa vibaya tu.

Tafsiri ni ya jedwali lile lile

NAT inapowasilisha safu tofauti kwa upande mwingine, rekodi viambishi asilia na vilivyotafsiriwa pamoja. Bainisha hatua ambayo viteuzi na kanuni za ufikiaji hulingana navyo, kwa sababu mpangilio huamua kama upande wa mbali utaona anwani uliyoandika. Jedwali lenye safu moja tu kati ya mbili ni mbaya kuliko kutokuwa na jedwali, kwa kuwa linaonekana kamili.

Hii ndiyo maelezo yanayovunja handaki linalofanya kazi baada ya mabadiliko ya NAT: kiteuzi bado kinalingana na kiambishi asilia, upande mwingine sasa unapokea kilichotafsiriwa, na njia yake ya kurudi inaelekeza kwenye anwani ambayo haipo tena. Hakuna kinachorekodi hitilafu wakati vyote viwili vinapoacha kulingana.

DNS ya kibinafsi ni ya mahali pale pale. Jina linalotatuliwa kuwa anwani isiyoweza kutumika kutoka eneo husika ni hitilafu ya nyaraka yenye tikiti ya msaada, na lawama itawekwa kwenye handaki.

Ambatisha sharti la huduma

Safu iliyolindwa si orodha ya ruhusa. Andika ni huduma zipi zinapaswa kufikika kutoka chanzo kipi, na nani anamiliki programu iliyo nyuma yao. Sehemu hizo mbili zinajibu maswali tofauti, na kuzichanganya ndiko kunakofanya ukaguzi wa usalama uishie kubishana kuhusu uelekezaji badala ya ufikiaji.

Kisha mtaje msimamizi wa mtandao anayetunza kanuni. Orodha ya viteuzi isiyo na mmiliki huzeeka kimyakimya, na kilichozeeka hakiwezi kutofautishwa na kibaya wakati handaki linavunjika saa mbili usiku. Mmiliki pia ni mtu anayeweza kuthibitisha kuwa mabadiliko yalikusudiwa.

Geuza rekodi kuwa mpango wa majaribio

Kwa kila njia inayohitajika, chagua mwenyeji wa chanzo na lengwa anayewakilisha na bainisha njia, huduma na lango la jibu linalotarajiwa. Hilo hubadilisha hati kuwa mpango wa majaribio badala ya maelezo. Soma muungano hai kwa amri iliyo hapa chini, na ulinganishe na mstari uliojadiliwa ulioandika.

swanctl --list-sas

Kifua cha mistari mitano kwa kawaida kinatosha kuweka rekodi ikiwa ya kweli. Toleo lililo hapa chini linaingia kwenye tikiti ya mabadiliko bila kukatwa:

sites: office <-> dc1
configured selector: 10.10.0.0/16 <-> 10.20.0.0/16
negotiated selector: 10.10.4.0/22 <-> 10.20.0.0/16
translated range: 172.16.4.0/22 -> 10.10.4.0/22
service and owner: erp:443 / finance-netops

Ping hadi lango pekee si jaribio la kukubaliwa. Hailitumii kamwe njia ya upitishaji, hivyo inaweza kupita wakati kila mtiririko unaosambazwa unashindikana. Jaribu kutoka mwenyeji upande mmoja hadi huduma upande mwingine na uthibitishe kuwa jibu linakuja kupitia handaki. Ikiwa ping pekee inapita, rekodi imegundua tatizo la usambazaji ambalo ilikusudiwa kuzuia. Nyaraka za strongSwan kuhusu usambazaji zinaeleza jinsi viteuzi, njia na usambazaji vinavyoshirikiana kwenye peer ya Linux.