డీక్రిప్ట్ చేసిన మార్గాన్ని గీయండి: VPN పరికరం విధానాన్ని ఎక్కడ అమలు చేస్తుంది
ఎన్‌క్రిప్టెడ్ లిజనర్ వద్ద ఆగే రేఖాచిత్రం ముఖ్యమైన విధానాన్ని చూపించదు. డీక్రిప్ట్ చేసిన మార్గాన్ని గీయండి, తర్వాత అభ్యర్థన ఏమి దాటుతుంది అనే దాని ఆధారంగా స్థానాలను పోల్చండి.
వెండర్ల రేఖాచిత్రాలు సాధారణంగా ఎన్‌క్రిప్టెడ్ లిజనర్ వద్దే ఆగుతాయి, ఎందుకంటే పబ్లిక్ చిరునామా ఉన్న భాగం అదే. భద్రతా స్థితిని నిర్ణయించే ప్రశ్న ఏమిటంటే డీక్రిప్షన్ తర్వాత ఏమి జరుగుతుంది, ప్యాకెట్ సాధారణ IP అయి రౌటింగ్ పట్టిక అనుమతించే అన్నిటినీ చేరుకోగలిగినప్పుడు. ఆ కాలు ఎవరూ గీయకపోతే దానికి యజమాని కూడా లేడు. కింది మార్గదర్శిని మొదట దాన్నే గీసి, తర్వాత డీక్రిప్ట్ చేసిన అభ్యర్థన నిజంగా ఏమి దాటుతుంది అనే దాని ఆధారంగా స్థానాలను పోలుస్తుంది.
ప్యాకెట్‌ను డీక్రిప్షన్ తర్వాత గీయండి, ముందు కాదు
బాహ్య మార్గం అనేది వెండర్లు నమోదు చేసే భాగం: పబ్లిక్ ఎండ్‌పాయింట్, కనెక్షన్‌ను అంగీకరించే రవాణా విధానం, మరియు దాన్ని ముగించే సేవ. అంతర్గత మార్గం ప్యాకెట్ తన టన్నెల్ శీర్షికను కోల్పోయిన క్షణంలో ప్రారంభమవుతుంది, అక్కడి నుండి టన్నెల్‌తో ఎలాంటి సంబంధం లేని రౌటింగ్ మరియు ఫిల్టర్ నియమాలు దాన్ని నడిపిస్తాయి. రెండింటినీ ఒకే పేజీలో ఉంచండి, ఎందుకంటే మొదటిది మాత్రమే ఉన్న రేఖాచిత్రం ప్రవేశం మరియు అధికారం ఒకే నిర్ణయం అని సూచిస్తుంది. అలా కాదు, మరియు వాటి మధ్య ఖాళీయే చాలా స్థానాలు తప్పు జరిగే చోటు.
అంతర్గత కాలును బాణంగా కాకుండా, పేరు పెట్టిన పరికర రకాలతో క్రమసంఖ్యా క్రమంగా రాయండి. బాణం అభ్యర్థన ఏదైనా ఫిల్టర్ దాటుతుందా లేదా అనేది దాచుతుంది, దాటడం లేదా దాటకపోవడమే మొత్తం ప్రశ్న. కింది ప్రతి అడుగు పరికరాన్ని మరియు అక్కడ పనిచేసే నియమ సముదాయాన్ని పేర్కొంటుంది, కాబట్టి లేని ఫిల్టర్ గీత ద్వారా సూచించబడినదిగా కాకుండా ఖాళీగా కనిపిస్తుంది.
- రిమోట్ క్లయింట్: టన్నెల్‌ను సృష్టించే వినియోగదారు పరికరం.
- అంచు విధానం: బాహ్య రవాణాను పబ్లిక్ లిజనర్‌కు అంగీకరించే నియమ సముదాయం.
- ముగించే పరికరం: ప్యాకెట్‌ను డీక్యాప్సులేట్ చేసి సాధారణ IP కి అప్పగించే VPN ఎండ్‌పాయింట్.
- అంతర్గత ఫిల్టర్: క్లయింట్ నుండి సేవకు ట్రాఫిక్‌ను పరిమితం చేసే ఫార్వార్డింగ్ లేదా భద్రతా సమూహ నియమ సముదాయం.
- అప్లికేషన్ హోస్ట్: డీక్రిప్ట్ చేసిన అభ్యర్థనను స్వీకరించే సేవ.
రెండు విధానాలు, ఇద్దరు యజమానులు
బాహ్య విధానం ఎవరు టన్నెల్ నెలకొల్పవచ్చు అని సమాధానం ఇస్తుంది, ముగించే సేవకు రవాణాను అంగీకరించే నియమాలలో వ్యక్తమవుతుంది. అంతర్గత విధానం ధృవీకరించబడిన వినియోగదారు ఏ సేవను చేరుకోవచ్చు అని సమాధానం ఇస్తుంది, ఫార్వార్డింగ్ నియమాలు, భద్రతా సమూహాలు లేదా అప్లికేషన్‌లోనే నివసిస్తుంది. ఒక పరికరం రెండింటినీ ఉంచుకోగలదు, అనేక పరికరాల రూపకల్పనలోనూ రెండూ ఉంటాయి. వాటిని విడివిడిగా పేరు పెట్టడమే వినియోగదారు అప్లికేషన్‌ను చేరుకోలేనప్పుడు ఏది విఫలమైందో చెప్పడానికి మిమ్మల్ని అనుమతిస్తుంది.
ప్రమాణపత్రాలు మరియు బహుళ-కారక ధృవీకరణ వంటి ప్రవేశ నియంత్రణలు గుర్తింపుకు మాత్రమే సమాధానం ఇస్తాయి, మరేదానికీ కాదు. అవి స్థానాన్ని నిర్ణయించవు, వినియోగదారు లోపలికి వచ్చిన తర్వాత వనరుల వారీగా అనుమతి ఇవ్వవు.
స్థానం అభ్యర్థన ఏ హద్దును దాటుతుందో నిర్ణయిస్తుంది
మూడు స్థానాలు సాధారణం, ప్రతిదీ డీక్రిప్ట్ చేసిన అభ్యర్థన ఏ హద్దును దాటుతుందో మారుస్తుంది. అక్కడ ఏమి ముగుస్తుంది, ఏది స్పష్ట పాఠ్యాన్ని చూడగలదు, ఏ నియంత్రణ ఇంకా అభ్యర్థనను తిరస్కరించగలదు, పరికరంతో పాటు ఏమి విఫలమవుతుంది అనే దాని ఆధారంగా వాటిని పోల్చండి. కింది పట్టిక సాధారణ ప్రశ్నకు బదులు ఆ నాలుగు నిలువు వరుసలను ఉపయోగిస్తుంది, ఎందుకంటే ప్రతి సమాధానం వేరే రూపకల్పన నిర్ణయం.
| Placement | What terminates there | What sees plaintext | Which control can still deny | Failure domain |
|---|---|---|---|---|
| Termination in a dedicated segment | A dedicated VPN endpoint | The endpoint and anything on its segment | The filter between that segment and the application | The segment path can bypass the filter if no rule sits on it |
| Termination on the edge firewall | The firewall's public listener | The firewall, after decapsulation | The firewall's inner rule set | Admission and inspection fail together |
| Termination on the protected LAN | The appliance's LAN leg | Every host on the protected LAN | Only a host control or a downstream gateway | The appliance and the protected hosts fail together |
మూడవ స్థానమే అమలును నిశ్శబ్దంగా తొలగిస్తుంది, ఎందుకంటే రక్షిత విభాగంలోని కాలు పరికరానికి రేఖాచిత్రం చూపించని నేరుగా మార్గాన్ని ఇస్తుంది. చిత్రాన్ని కాదు, ఇంటర్‌ఫేస్‌లు మరియు మార్గాలను పరిశీలించండి: ip route get 10.20.5.10 ప్యాకెట్ ఏ ఇంటర్‌ఫేస్ ద్వారా బయటకు వెళ్తుందో తెలియజేస్తుంది, మరియు సమాధానం తరచుగా రూపకల్పన ఊహించినది కాదు. స్థితుల మధ్య ట్రాఫిక్‌ను నియంత్రించే ఫైర్‌వాల్ సాంప్రదాయ పాత్ర, కింది పత్రంలో వివరించినట్లు,NIST SP 800-41 ఇక్కడ ఉపయోగకరమైన పరీక్ష, ఎందుకంటే రక్షిత నెట్‌వర్క్ వైపు అపరిమిత కాలు ఉన్న పరికరం ఎక్కువ నియంత్రించదు. మార్గ శోధన ప్రదర్శనలోని రేఖాచిత్రం కంటే నిజాయితీగా ఉంటుంది.
నిర్వహణ తన స్వంత స్పష్టంగా అనుమతించిన మార్గంలో ఉండాలి. వినియోగదారులు అప్లికేషన్‌ను చేరుకోవడానికి అనుమతించడం వారిని పరికర నియంత్రణ ఇంటర్‌ఫేస్‌ను చేరుకోవడానికి అనుమతించాలని ఎప్పుడూ కోరదు, రెండు అనుమతులు వేర్వేరు నియమాల నుండి ఇవ్వాలి. రెండు మార్గాలను విడివిడిగా ఆడిట్ చేయండి, ఎందుకంటే పంచుకున్న నియమం ఏది తెరవబడిందో దాచుతుంది.
అనువాదం కింది నియమాలు ఏమి చూడగలవో మారుస్తుంది
మూల అనువాదం సౌకర్యవంతం మరియు అది సమాచారాన్ని నాశనం చేస్తుంది. masquerade తర్వాత ప్రతి క్లయింట్ పరికరంలా కనిపిస్తుంది, కాబట్టి వినియోగదారులను వేరు చేయడానికి రాసిన కింది నియమం ఇకపై అలా చేయలేదు. ఇది కేవలం లాగింగ్ సమస్య కాదు, ఇది విధాన సమస్య: క్లయింట్ చిరునామాపై కీలు వేసిన నియమం నిశ్శబ్దంగా గేట్‌వేపై కీలు వేసిన నియమం అవుతుంది. వినియోగదారు వారీగా విధానం ముఖ్యమైతే, మూలాన్ని కాపాడండి లేదా అనువాదానికి ముందు విధానాన్ని అమలు చేయండి.
ప్రతిస్పందన మార్గం కూడా అదే పరిశీలనకు అర్హం. గమ్యం తిరిగి వచ్చే ప్యాకెట్‌కు ఏ మార్గాన్ని ఎంచుకుంటుందో నమోదు చేయండి, ఎందుకంటే అసమాన తిరిగి రావడం స్థితి తనిఖీని దాటవేసి, ఏర్పడి తర్వాత ఆగిపోయే కనెక్షన్‌ను సృష్టిస్తుంది. రెండు దిశలు మీరు గీసిన హద్దును దాటాలి, లేకపోతే హద్దు అలంకారం.
sudo tcpdump -ni inside0 host 10.20.5.10
ip route get 10.20.5.10
sudo iptables -t nat -S POSTROUTINGఅనుమతించబడిన మరియు తిరస్కరించబడిన ఒక చర్యను అంగీకరించండి
నిర్వహణ హోస్ట్ నుండి కాదు, నిజమైన రిమోట్ క్లయింట్ నుండి పరీక్షించండి, ఎందుకంటే నిర్వహణ హోస్ట్ సాధారణంగా వినియోగదారు ఎప్పటికీ ఉండని చోట కూర్చుంటుంది. ఒక అనుమతించబడిన చర్య మార్గం పనిచేస్తుందని నిరూపిస్తుంది, ఒక తిరస్కరించబడినది విధానం ఏదో చేస్తోందని నిరూపిస్తుంది. ప్రతి స్థాన మార్పు తర్వాత రెండింటినీ నడపండి, మరియు మీరు ఉపయోగించిన మూల గుర్తింపు మరియు గమ్యాన్ని నమోదు చేయండి. కేవలం విజయాన్ని నిరూపించే పరీక్ష సరైన నియమాన్ని లేని నియమం నుండి వేరు చేయలేదు.
తర్వాత స్థితిని మార్చే సందర్భాలను పరీక్షించండి: తిరిగి కనెక్ట్ కావడం, కీ భ్రమణాన్ని మించి నిలిచే సెషన్, మరియు పరికరం యొక్క స్వంత వైఫల్యం. నవీకరణలు, సామర్థ్యం మరియు పునరుద్ధరణను అదే అమరికలో భాగంగా పోల్చండి, ఎందుకంటే అనేక తార్కిక నియంత్రణలను మోసే ఒక పరికరం అనేక లేబుళ్లు గల ఒకే వైఫల్య ప్రాంతం. పంచుకున్న పరిపాలనా ఆధారం లేదా అపరిమిత మార్గం అది సృష్టించాల్సిన హద్దును ఓడిస్తే రెండవ పెట్టె కూడా స్వతంత్రం కాదు.
ఎండ్‌పాయింట్, డీక్రిప్ట్ చేసిన మార్గం మరియు దాన్ని పరిమితం చేసే నియంత్రణను నమోదు చేయండి. ఆ మూడు పంక్తులు అమలును ఏ పేరుతో పిలిచినా అర్థవంతంగా ఉంటాయి.