VPN ya tovuti-hadi-tovuti: mwelekeo upi unahitaji sheria kweli?

Pande zote mbili zinaripoti handaki iliyoanzishwa, tawi la mbali linajibu kutoka lango, na programu bado inaisha kwa muda kwa watumiaji upande mmoja. Ushauri wa kawaida ni kuongeza sheria ya ngome ya moto katika pande zote mbili. Wakati mwingine ni sahihi, wakati mwingine hurudia sheria iliyopo tayari, na wakati mwingine sheria ya pili ndiyo inayovunja hali. Kesi ipi inatumika inategemea mahali ngome ya moto inapoona kifurushi.

Trafiki ya kurudi yenye hali hubadilisha idadi

Ngome ya moto yenye hali hurekodi ombi na kuruhusu jibu bila sheria ya pili, kwa hiyo muundo unaohitaji sheria moja tu ni wa kawaida. Orodha ya ufikiaji isiyo na hali haina kumbukumbu kama hiyo, na jibu lazima liruhusiwe kwa uwazi. Zote mbili ni sahihi kwenye jukwaa lao, ndiyo sababu ushauri unapingana.

Soma nyaraka za upelekaji za jukwaa lililo mbele yako, na angalia kama sera unayohariri ina hali mahali inapoona kifurushi. Kukataa kwa uwazi kwa trafiki iliyoanzishwa, au mpangilio wa sheria unaotathmini jibu kabla ya jedwali la hali, hufanya muundo unaofanya kazi kuwa wa kutatanisha. Idadi ya sheria ni maelezo ya utekelezaji, wakati hitaji ni kwamba pande zote mbili za mazungumzo yaliyoruhusiwa ziweze kukamilika.

Mahali ngome ya moto inapoona vifurushi vilivyofumbuliwa

Katika handaki inayotegemea sera, ngome ya moto inaweza kutathmini kifurushi kilichosimbwa kabla ya ufumbuzi na kifurushi kilichofumbuliwa baada yake, kwenye violesura tofauti. Sheria iliyoandikwa kwa kiolesura kisicho sahihi ipo, ni sahihi na hailingani kamwe. Hivyo seti ya sheria iliyonakiliwa kutoka usambazaji unaofanya kazi inaweza kushindwa kwenye maunzi yanayofanana.

IPsec inayotegemea njia na utekelezaji mwingi wa kisasa hutoa kiolesura cha handaki, kwa hiyo kifurushi kilichofumbuliwa kinafika hapo na sheria za kawaida za kiolesura zinatumika. Thibitisha ni mfano upi usambazaji unatumia kabla ya kunakili seti ya sheria kutoka mwongozo ulioandikwa kwa ule mwingine. Kiolesura cha handaki pia ni mahali pa kuangalia unapohitaji kujua kama kifurushi kilifumbuliwa hata kidogo.

Uelekezaji usio linganifu huvunja dhana

Ngome ya moto yenye hali hudhani inaona nusu zote mbili za mazungumzo. Ikiwa jibu linarudi kupitia lango lingine, kifaa hicho hakina hali ya ombi na hulitupa kulingana na sera yake. Dalili ni kushindwa kwa upande mmoja ambako hakuna sheria upande wa mtumaji inayoweza kurekebisha. Fuatilia njia ya jibu kabla ya kuhariri chochote.

Angalia njia ya jibu kabla ya kuongeza sheria pana ya kuruhusu pande zote mbili. Kuvumilia kila kitu kwenye kila kiolesura huficha kosa la uelekezaji na kupanua ufikiaji kwa wakati mmoja, ambayo ni mchanganyiko mbaya zaidi unaopatikana.

Angalia pande zote mbili kwa anwani halisi za chanzo

Jaribu kwa anwani ambayo upande wa mbali unaona kweli, kwa sababu tafsiri inaweza kufanya sheria ya chanzo isilingane na chochote. Endesha ukamataji kwenye lango zote mbili kwa wakati mmoja.

tcpdump -ni any 'host 10.30.8.15 and tcp port 443'
nft list ruleset | grep -A 8 'chain forward'
ip route get 10.30.8.15
conntrack -L | grep 10.30.8.15

Ombi linaloonekana kwenye lango la mbali likiwa na anwani ya chanzo isiyotarajiwa hufafanua sheria isiyolingana kamwe, na jibu linalofika kwenye kiolesura kisicho sahihi hufafanua kutolingana kwa hali. Kisha jaribu lengo moja ndani ya wigo ulioidhinishwa na moja nje yake, ili mpaka uonyeshwe badala ya kudhaniwa.

Rekodi anwani ya chanzo baada ya tafsiri, kiolesura kilichotumiwa na kifurushi kilichofumbuliwa, na sheria iliyolingana. Mambo hayo matatu hujibu tiketi inayofuata bila kurudia uchunguzi wote.