VPN மூலம் இணைக்கப்பட்ட இரண்டு அலுவலகங்களுக்கு இடையே அணுகலை எவ்வாறு வரம்பிடுவது

தளம்-க்கு-தளம் சுரங்கப்பாதை ஒரு கேள்விக்கு பதிலளிக்கிறது, இரண்டு அலுவலகங்கள் பொதிகளை பரிமாறிக்கொள்ள முடியுமா என்பது, முக்கியமானதை திறந்தே வைக்கிறது: எந்த கிளை சாதனம் எந்த மைய சேவையை அடையலாம். சுரங்கப்பாதையை பரஸ்பர நம்பிக்கையாக கருதுவதே விருந்தினர் மடிக்கணினி நிதி சேவையகத்தின் அதே பாதையில் வந்து சேரும் வழி. தீர்வு சிறந்த சுரங்கப்பாதை அல்ல, மறைகுறியாக்கத்திற்குப் பின் செயல்படுத்தப்படும் தெளிவான அனுமதிப் பட்டியல். இந்த வழிகாட்டி அந்தப் பட்டியலை வரையறையிலிருந்து நிரூபிக்கப்பட்ட மறுப்பு வரை கொண்டு செல்கிறது.

இந்த வரிசையில் செயல்படுங்கள், கீழேயுள்ள கொள்கை படிகள் கடக்கும் வரை சுரங்கப்பாதை பாதையை விரிவுபடுத்த வேண்டாம்.

நுழைவாயிலைத் தொடும் முன் அணியை எழுதுங்கள்

பயனுள்ள வரிசை மூன்றைக் குறிப்பிடுகிறது: மூலக் குழு, இலக்கு புரவலன் அல்லது சேவை வலைப்பிணையம், மற்றும் பயன்பாடு உண்மையில் பயன்படுத்தும் நெறிமுறை மற்றும் துறை. கிளையும் தரவு மையமும் உள்ளீடுகள் அல்ல. தனியார் DNS மற்றும் அங்கீகார சேவைகள் தங்கள் சொந்த வரிசைகளைப் பெறுவது பயன்பாடு அவை இல்லாமல் இயங்க முடியாதபோது மட்டுமே.

மூலங்களை துணை வலைப்பிணையத்தின் வசதியால் அல்ல, பாத்திரத்தால் குழுவாக்குங்கள்: பணியாளர்கள், விருந்தினர்கள், நிர்வாகம். மூன்றும் ஒரே தட்டையான LAN பகிர்ந்துகொள்ளும்போது நுழைவாயில் வலைப்பிணைய அடுக்கில் அவர்களை வேறுபடுத்த முடியாது, எனவே அடையாளக் கட்டுப்பாடு அல்லது பிரிவினை முதலில் வர வேண்டும். பின்னர் ஒவ்வொரு வரிசையிலும் உரிமையாளர் மற்றும் மதிப்பாய்வு தேதியுடன் அணியை எழுத்துப்பூர்வமாக வைக்கவும்.

பொதிகள் மறைகுறியாக்கப்படும் இடத்திலேயே செயல்படுத்துங்கள்

IKE மற்றும் ESP அனுமதிக்கும் விதிகள் வெளிப்புற சுரங்கப்பாதையை மட்டுமே கட்டுகின்றன. உள் போக்குவரத்து சுரங்கப்பாதை இடைமுகத்தில் வெளிப்படையாக வருகிறது, அனுமதிப் பட்டியலின் இடம் அங்கேயே: மறைகுறியாக்கும் சாதனத்தில் அனுப்பு சங்கிலி, இயல்புநிலை நீக்கம், அணியின் ஒவ்வொரு வரிசைக்கும் ஒரு விதி. Linux நுழைவாயில்களில் இதன் பொருள் அனுப்புதல் இயக்கப்பட்டுள்ளது மற்றும் வடிகட்டி விதிகள் சுரங்கப்பாதை சாதனத்தில் உள்ளன, இயற்பிய இணைப்பில் அல்ல, என்பதை strongSwan அனுப்பு வழிகாட்டி விளக்குகிறது.

போக்குவரத்து தேர்ந்தெடுப்பிகள் வழிசெலுத்தல் முடிவு, அதிகார முடிவு அல்ல. இரண்டு துணை வலைப்பிணையங்களையும் உள்ளடக்கும் அகலமான தேர்ந்தெடுப்பி வழிசெலுத்தலுக்கு சரியாக இருக்கலாம், ஆனால் தீட்சுவர் இன்னும் ஒரு புரவலனுக்கு TCP 443 மட்டுமே அனுமதிக்கிறது. தேர்ந்தெடுப்பி சுரங்கப்பாதைக்காக பேச்சுவார்த்தை செய்யப்படுகிறது, அதில் எது நுழையலாம் என்பதை விவரிக்கிறது, எந்த சாதனம் எதைப் பயன்படுத்தலாம் என்பதை அல்ல. தேர்ந்தெடுப்பி அகலமானது என்பதால் ஒருபோதும் தீட்சுவர் விதியை விரிவுபடுத்த வேண்டாம்.

iptables -A FORWARD -i tun0 -s 10.20.0.0/24 -d 10.10.5.10 -p tcp --dport 443 -j ACCEPT
iptables -A FORWARD -i tun0 -j DROP

NAT மற்றும் ஒன்றுடன் ஒன்று மேலிடும் துணை வலைப்பிணையங்கள் விதிகளை மாற்றுகின்றன

கிளை நுழைவாயில் சுரங்கப்பாதைக்கு முன் ஒவ்வொரு புரவலனையும் ஒரே முகவரியாக மொழிபெயர்க்கும்போது, மூலம் அடிப்படையிலான ஒவ்வொரு வரிசையும் அந்த ஒரே முகவரியில் சரிகிறது. ஒன்று சுரங்கப்பாதை போக்குவரத்தை மொழிபெயர்ப்பதை நிறுத்துங்கள், அல்லது விதிகள் வேறு எதையாவது, எடுத்துக்காட்டாக மொழிபெயர்ப்புக்கு முன் பதிவு செய்யப்பட்ட அசல் மூல முகவரியை நம்பியிருக்க வேண்டும் என்பதை ஏற்கவும். தொலை முனைக்கும் அதே சிக்கல் உள்ளது, ஏனெனில் இலக்கு புரவலன் அசலை அல்ல, NAT க்குப் பின் முகவரியைப் பார்க்கிறது.

ஒன்றுடன் ஒன்று மேலிடும் வரம்புகள் மற்றொரு பொறி. இரண்டும் 192.168.1.0/24 பயன்படுத்தும் இரண்டு அலுவலகங்களை ஒரு பக்கத்தை வரைபடமாக்காமல் ஒரே கொள்கை அட்டவணையில் விவரிக்க முடியாது, வரைபடமாக்கல் மோதலற்ற முகவரியிடலை மாற்றாது. பின்னர் அவிழ்க்க வேண்டிய விதிகளை எழுதும் முன் திட்டத்தை சரிசெய்யுங்கள்.

மறுப்பை நிரூபிக்கவும், வெற்றியை மட்டும் அல்ல

அனுமதிக்கப்பட்ட பயன்பாட்டை மட்டும் சோதிப்பது மிகக் குறைவையே நிரூபிக்கிறது, ஏனெனில் மேலே எங்கோ ஒரு தளர்வான விதி அதே முடிவைத் தருகிறது.

சாதாரண கிளை சாதனத்திலிருந்து நோக்கமான சேவையை அடைந்து முழு அமர்வும் செயல்படுகிறது என்பதை உறுதிசெய்யுங்கள். பின்னர் மூடியே இருக்க வேண்டிய இலக்கை முயற்சிக்கவும், எடுத்துக்காட்டாக கிளைக்கு எந்தத் தொடர்பும் இல்லாத சேவையகத்தில் ஒரு நிர்வாகத் துறை, மேலும் அதை வீழ்த்திய எண்ணி அல்லது பதிவு உள்ளீட்டைப் படியுங்கள். விதித் தொகுப்பு செயல்படுகிறதா எனப் பார்க்க அதை முடக்குவது சோதனையை செல்லாததாக்கி, நீங்கள் பார்க்கும்போது நுழைவாயிலைத் திறந்தே விடுகிறது.

பட்டியலை உயிர்ப்புடன் வைத்திருங்கள்

பயன்பாடுகள் நகர்கின்றன, தன் பயன்பாட்டை விட நீடித்து வாழும் விதி யாருக்கும் சொந்தமில்லாத துளையாகிறது. மதிப்பாய்வு தேதியை வரிசையுடன் இணைக்கவும், சேவை முகவரியை மாற்றும்போது அதே பராமரிப்பு படியில் தேர்ந்தெடுப்பியின் எல்லையையும் தீட்சுவர் விதியையும் மாற்றவும்.

சுரங்கப்பாதைக்குப் பின்னும் புரவலன் நிலை கட்டுப்பாடுகள் முக்கியம்: சேவையகத்தின் சொந்த தீட்சுவர் கிளை வரம்பை அது வெளியிடும் சேவைக்கு மட்டுமே ஏற்க வேண்டும். ஒத்துப்போகும் இரண்டு அடுக்குகள் முழுமையாக நம்பப்படும் ஒரு அடுக்கை விட தணிக்கை செய்ய எளிதானவை.