மறைகுறியாக்கப்பட்ட பாதையை வரையுங்கள்: VPN சாதனம் கொள்கையை எங்கு அமல்படுத்துகிறது
மறைகுறியாக்கப்பட்ட கேட்பானில் நிற்கும் வரைபடம் முக்கியமான கொள்கையைக் காட்டாது. மறைகுறியாக்கப்பட்ட பாதையை வரைந்து, கோரிக்கை எதைக் கடக்கிறது என்பதன் அடிப்படையில் இடங்களை ஒப்பிடுங்கள்.
விற்பனையாளர்களின் வரைபடங்கள் பொதுவாக மறைகுறியாக்கப்பட்ட கேட்பானிலேயே நிற்கின்றன, ஏனெனில் பொது முகவரி உள்ள பகுதி அதுவே. பாதுகாப்பு நிலையைத் தீர்மானிக்கும் கேள்வி, மறைகுறியாக்கத்திற்குப் பிறகு என்ன நடக்கிறது என்பதுதான், பாக்கெட் சாதாரண IP ஆகி வழித்தட அட்டவணை அனுமதிக்கும் அனைத்தையும் அடைய முடியும் போது. யாரும் அந்தக் காலை வரையவில்லை என்றால் அதற்கு உரிமையாளரும் இல்லை. கீழே உள்ள வழிகாட்டி முதலில் அதை வரைந்து, பின்னர் மறைகுறியாக்கப்பட்ட கோரிக்கை உண்மையில் எதைக் கடக்கிறது என்பதன் அடிப்படையில் இடங்களை ஒப்பிடுகிறது.
பாக்கெட்டை மறைகுறியாக்கத்திற்குப் பிறகு வரையுங்கள், முன்பு அல்ல
வெளிப்பாதை என்பது விற்பனையாளர்கள் ஆவணப்படுத்தும் பகுதி: பொது முடிவுப்புள்ளி, இணைப்பை ஏற்கும் போக்குவரத்துக் கொள்கை, அதை முடிக்கும் சேவை. உட்பாதை பாக்கெட் தனது சுரங்கத் தலைப்பை இழக்கும் அந்தக் கணத்தில் தொடங்குகிறது, அங்கிருந்து சுரங்கத்துடன் எந்தத் தொடர்பும் இல்லாத வழித்தட மற்றும் வடிகட்டி விதிகள் அதை இயக்குகின்றன. இரண்டையும் ஒரே பக்கத்தில் வையுங்கள், ஏனெனில் முதல் ஒன்றை மட்டும் கொண்ட வரைபடம் அனுமதியும் அங்கீகாரமும் ஒரே முடிவு என்று குறிப்பிடுகிறது. அப்படி இல்லை, அவற்றுக்கிடையேயான இடைவெளியே பெரும்பாலான இடங்கள் தவறும் இடம்.
உட்பாதையை அம்புக்குறியாக அல்ல, பெயரிடப்பட்ட சாதன வகைகளுடன் எண்ணிடப்பட்ட வரிசையாக எழுதுங்கள். அம்புக்குறி கோரிக்கை ஒரு வடிகட்டியைக் கடக்கிறதா என்பதை மறைக்கிறது, கடப்பதா இல்லையா என்பதே முழுக் கேள்வி. கீழே உள்ள ஒவ்வொரு படியும் சாதனத்தையும் அங்கு செயல்படும் விதித் தொகுப்பையும் பெயரிடுகிறது, எனவே இல்லாத வடிகட்டி கோட்டால் குறிப்பிடப்பட்டதாக அல்ல, இடைவெளியாகத் தெரிகிறது.
- தொலைவு வாடிக்கையாளர்: சுரங்கத்தை உருவாக்கும் பயனர் சாதனம்.
- விளிம்புக் கொள்கை: வெளிப்போக்குவரத்தைப் பொது கேட்பானுக்கு ஏற்கும் விதித் தொகுப்பு.
- முடிக்கும் சாதனம்: பாக்கெட்டை மறைகுறியீடகற்றி சாதாரண IP-க்கு ஒப்படைக்கும் VPN முடிவுப்புள்ளி.
- உள்வடிகட்டி: வாடிக்கையாளரிலிருந்து சேவைக்கான போக்குவரத்தை வரம்பிடும் மீண்டும் அனுப்புதல் அல்லது பாதுகாப்புக் குழு விதித் தொகுப்பு.
- பயன்பாட்டு ஓம்புநர்: மறைகுறியாக்கப்பட்ட கோரிக்கையைப் பெறும் சேவை.
இரண்டு கொள்கைகள், இரண்டு உரிமையாளர்கள்
வெளிக்கொள்கை யார் சுரங்கத்தை நிறுவலாம் என்று பதிலளிக்கிறது, முடிக்கும் சேவைக்கு போக்குவரத்தை ஏற்கும் விதிகளில் வெளிப்படுகிறது. உள்கொள்கை அங்கீகரிக்கப்பட்ட பயனர் எந்தச் சேவையை அடையலாம் என்று பதிலளிக்கிறது, மீண்டும் அனுப்புதல் விதிகள், பாதுகாப்புக் குழுக்கள் அல்லது பயன்பாட்டிலேயே வாழ்கிறது. ஒரு சாதனம் இரண்டையும் கொள்ளலாம், பல சாதனங்கள் கொண்ட வடிவமைப்பிலும் இரண்டும் உள்ளன. அவற்றைத் தனித்தனியாகப் பெயரிடுவதே, பயனர் ஒரு பயன்பாட்டை அடைய முடியாதபோது எது தோல்வியடைந்தது என்று சொல்ல உங்களை அனுமதிக்கிறது.
சான்றிதழ்கள் மற்றும் பல்காரணி அங்கீகாரம் போன்ற அனுமதிக் கட்டுப்பாடுகள் அடையாளத்திற்கு மட்டுமே பதிலளிக்கின்றன, வேறு எதற்கும் அல்ல. அவை இடத்தைத் தீர்மானிப்பதில்லை, பயனர் உள்ளே வந்தபின் வளம் வாரியாக அனுமதியும் தருவதில்லை.
இடம் எந்த எல்லையைக் கோரிக்கை கடக்கிறது என்பதைத் தீர்மானிக்கிறது
மூன்று இடங்கள் பொதுவானவை, ஒவ்வொன்றும் மறைகுறியாக்கப்பட்ட கோரிக்கை எந்த எல்லையைக் கடக்கிறது என்பதை மாற்றுகிறது. அங்கு என்ன முடிகிறது, எது தெளிவான உரையைப் பார்க்க முடியும், எந்தக் கட்டுப்பாடு இன்னும் கோரிக்கையை மறுக்க முடியும், சாதனத்துடன் சேர்ந்து என்ன தோல்வியடைகிறது என்பதன் அடிப்படையில் ஒப்பிடுங்கள். கீழே உள்ள அட்டவணை பொதுவான கேள்விக்குப் பதிலாக அந்த நான்கு நெடுவரிசைகளைப் பயன்படுத்துகிறது, ஏனெனில் ஒவ்வொரு பதிலும் தனி வடிவமைப்பு முடிவு.
| Placement | What terminates there | What sees plaintext | Which control can still deny | Failure domain |
|---|---|---|---|---|
| Termination in a dedicated segment | A dedicated VPN endpoint | The endpoint and anything on its segment | The filter between that segment and the application | The segment path can bypass the filter if no rule sits on it |
| Termination on the edge firewall | The firewall's public listener | The firewall, after decapsulation | The firewall's inner rule set | Admission and inspection fail together |
| Termination on the protected LAN | The appliance's LAN leg | Every host on the protected LAN | Only a host control or a downstream gateway | The appliance and the protected hosts fail together |
மூன்றாவது இடமே அமலாக்கத்தை அமைதியாக நீக்குகிறது, ஏனெனில் பாதுகாக்கப்பட்ட பிரிவில் ஒரு கால் சாதனத்திற்கு வரைபடம் காட்டாத நேரடிப் பாதையைத் தருகிறது. படத்தை அல்ல, இடைமுகங்களையும் வழித்தடங்களையும் பாருங்கள்: ip route get 10.20.5.10 பாக்கெட் எந்த இடைமுகம் வழியாக வெளியேறும் என்பதைத் தெரிவிக்கிறது, பதில் பெரும்பாலும் வடிவமைப்பு கருதியதாக இருக்காது. ஆசனங்களுக்கு இடையேயான போக்குவரத்தைக் கட்டுப்படுத்தும் தீச்சுவரின் பாரம்பரியப் பங்கு, கீழே உள்ள ஆவணத்தில் விவரிக்கப்பட்டபடி,NIST SP 800-41 இங்கு பயனுள்ள சோதனையாகும், ஏனெனில் பாதுகாக்கப்பட்ட வலையமைப்பிற்கு வரம்பற்ற கால் கொண்ட சாதனம் அதிகம் கட்டுப்படுத்துவதில்லை. வழித்தடத் தேடல் விளக்கக்காட்சியில் உள்ள வரைபடத்தைவிட நேர்மையான வரைபடம்.
நிர்வாகம் அதன் சொந்த வெளிப்படையாக அனுமதிக்கப்பட்ட பாதையில் இருக்க வேண்டும். பயனர்கள் ஒரு பயன்பாட்டை அடைய அனுமதிப்பது, அவர்கள் சாதனத்தின் கட்டுப்பாட்டு இடைமுகத்தை அடைய அனுமதிப்பதை ஒருபோதும் கோருவதில்லை, இரண்டு அனுமதிகளும் வெவ்வேறு விதிகளிலிருந்து வழங்கப்பட வேண்டும். இரண்டு பாதைகளையும் தனித்தனியாகத் தணிக்கை செய்யுங்கள், ஏனெனில் பகிரப்பட்ட விதி எது திறக்கப்பட்டது என்பதை மறைக்கிறது.
மொழிபெயர்ப்பு கீழ்நிலை விதிகள் எதைப் பார்க்க முடியும் என்பதை மாற்றுகிறது
மூல மொழிபெயர்ப்பு வசதியானது, அது தகவலை அழிக்கிறது. masquerade-க்குப் பிறகு ஒவ்வொரு வாடிக்கையாளரும் சாதனம் போலவே தெரிகிறது, எனவே பயனர்களை வேறுபடுத்த எழுதப்பட்ட கீழ்நிலை விதி அதை இனி செய்ய முடியாது. இது பதிவு சிக்கல் மட்டுமல்ல, இது கொள்கைச் சிக்கல்: வாடிக்கையாளர் முகவரியில் விசையிடப்பட்ட விதி அமைதியாக நுழைவாயிலில் விசையிடப்பட்ட விதியாகிறது. பயனர் வாரியாகக் கொள்கை முக்கியம் என்றால், மூலத்தைப் பாதுகாக்கவும் அல்லது மொழிபெயர்ப்புக்கு முன் கொள்கையை அமல்படுத்தவும்.
பதில் பாதையும் அதே பரிசோதனைக்குத் தகுதியானது. சேருமிடம் திரும்பும் பாக்கெட்டுக்கு எந்த வழித்தடத்தைத் தேர்ந்தெடுக்கிறது என்பதைப் பதிவு செய்யுங்கள், ஏனெனில் சமச்சீரற்ற திரும்புதல் நிலை பரிசோதனையைத் தவிர்த்து, நிறுவப்பட்டு பின்னர் நிற்கும் இணைப்பை உருவாக்குகிறது. இரண்டு திசைகளும் நீங்கள் வரைந்த எல்லையைக் கடக்க வேண்டும், இல்லையேல் எல்லை அலங்காரம்.
sudo tcpdump -ni inside0 host 10.20.5.10
ip route get 10.20.5.10
sudo iptables -t nat -S POSTROUTINGஅனுமதிக்கப்பட்ட மற்றும் மறுக்கப்பட்ட ஒரு செயல்பாட்டை ஏற்றுக்கொள்ளுங்கள்
நிர்வாக ஓம்புநரிடமிருந்து அல்ல, உண்மையான தொலைவு வாடிக்கையாளரிடமிருந்து சோதியுங்கள், ஏனெனில் நிர்வாக ஓம்புநர் பொதுவாக பயனர் ஒருபோதும் இருக்காத இடத்தில் அமர்கிறார். ஒரு அனுமதிக்கப்பட்ட செயல்பாடு பாதை வேலை செய்கிறது என்பதை நிரூபிக்கிறது, ஒரு மறுக்கப்பட்டது கொள்கை ஏதாவது செய்கிறது என்பதை நிரூபிக்கிறது. ஒவ்வொரு இட மாற்றத்திற்குப் பிறகும் இரண்டையும் இயக்கி, நீங்கள் பயன்படுத்திய மூல அடையாளத்தையும் சேருமிடத்தையும் பதிவு செய்யுங்கள். வெற்றியை மட்டும் நிரூபிக்கும் சோதனை சரியான விதியை இல்லாத விதியிலிருந்து வேறுபடுத்த முடியாது.
பின்னர் நிலையை மாற்றும் நிகழ்வுகளைச் சோதியுங்கள்: மீண்டும் இணைதல், விசைச் சுழற்சியைத் தாண்டி நீடிக்கும் அமர்வு, சாதனத்தின் சொந்தத் தோல்வி. புதுப்பிப்புகள், கொள்ளளவு, மீட்பு ஆகியவற்றை ஒரே அமைப்பின் பகுதியாக ஒப்பிடுங்கள், ஏனெனில் பல தர்க்கக் கட்டுப்பாடுகளைக் கொண்ட ஒரு சாதனம் பல லேபிள்கள் கொண்ட ஒரே தோல்விக் களம். பகிரப்பட்ட நிர்வாகச் சான்று அல்லது வரம்பற்ற வழித்தடம் அது உருவாக்க வேண்டிய எல்லையை வென்றால் இரண்டாவது பெட்டியும் சுயாதீனமல்ல.
முடிவுப்புள்ளி, மறைகுறியாக்கப்பட்ட பாதை, அதை வரம்பிடும் கட்டுப்பாடு ஆகியவற்றை ஆவணப்படுத்துங்கள். அந்த மூன்று வரிகளும் அமலாக்கம் எப்படிப் பெயரிடப்பட்டாலும் பொருள் கொண்டவை.