VPN ద్వారా అనుసంధానించబడిన రెండు కార్యాలయాల మధ్య ప్రవేశాన్ని ఎలా పరిమితం చేయాలి

సైట్-నుండి-సైట్ టన్నెల్ ఒక ప్రశ్నకు సమాధానం ఇస్తుంది, రెండు కార్యాలయాలు ప్యాకెట్లను మార్పిడి చేసుకోగలవా అని, మరియు ముఖ్యమైనదాన్ని తెరిచే ఉంచుతుంది: ఏ శాఖ పరికరం ఏ కేంద్ర సేవను చేరుకోగలదు. టన్నెల్ను పరస్పర విశ్వాసంగా పరిగణించడం అతిథి ల్యాప్టాప్ ఆర్థిక సర్వర్తో అదే మార్గంలో చేరుకునే విధానం. పరిష్కారం మెరుగైన టన్నెల్ కాదు, డీక్రిప్షన్ తర్వాత అమలయ్యే స్పష్టమైన అనుమతి జాబితా. ఈ మార్గదర్శిని ఆ జాబితాను నిర్వచనం నుండి నిరూపితమైన తిరస్కరణ వరకు తీసుకువెళుతుంది.

ఈ క్రమంలో పని చేయండి, మరియు క్రింది విధాన దశలు దాటే వరకు టన్నెల్ మార్గాన్ని విస్తరించవద్దు.

గేట్వేను తాకే ముందు మాతృక రాయండి

ఉపయోగకరమైన వరుస మూడు విషయాలను పేర్కొంటుంది: మూల సమూహం, గమ్య హోస్ట్ లేదా సేవా నెట్వర్క్, మరియు అప్లికేషన్ నిజంగా ఉపయోగించే ప్రోటోకాల్ మరియు పోర్ట్. శాఖ మరియు డేటా సెంటర్ నమోదులు కావు. ప్రైవేట్ DNS మరియు ప్రామాణీకరణ సేవలు తమ సొంత వరుసలను పొందేది అప్లికేషన్ అవి లేకుండా పని చేయలేనప్పుడు మాత్రమే.

మూలాలను సబ్నెట్ సౌలభ్యం ప్రకారం కాకుండా పాత్ర ప్రకారం సమూహపరచండి: సిబ్బంది, అతిథులు, పరిపాలన. మూడూ ఒకే చదునైన LAN పంచుకున్నప్పుడు గేట్వే నెట్వర్క్ పొరలో వాటిని వేరు చేయలేదు, కాబట్టి గుర్తింపు నియంత్రణ లేదా విభజన ముందుగా రావాలి. తర్వాత ప్రతి వరుసలో యజమాని మరియు సమీక్ష తేదీతో మాతృకను లిఖితంగా ఉంచండి.

ప్యాకెట్లు డీక్రిప్ట్ అయ్యే చోటే అమలు చేయండి

IKE మరియు ESPకు అనుమతి ఇచ్చే నియమాలు బయటి టన్నెల్ను మాత్రమే నిర్మిస్తాయి. లోపలి ట్రాఫిక్ టన్నెల్ ఇంటర్ఫేస్కు బహిరంగంగా వస్తుంది, అనుమతి జాబితా స్థానం అక్కడే: డీక్రిప్ట్ చేసే పరికరంలో ఫార్వర్డ్ గొలుసు, డిఫాల్ట్ డ్రాప్, మాతృకలోని ప్రతి వరుసకు ఒక నియమం. Linux గేట్వేలలో దీని అర్థం ఫార్వర్డింగ్ ప్రారంభమైంది మరియు ఫిల్టర్ నియమాలు టన్నెల్ పరికరంలో ఉన్నాయి, భౌతిక అప్లింక్లో కాదు, అని strongSwan ఫార్వర్డింగ్ మార్గదర్శిని వివరిస్తుంది.

ట్రాఫిక్ సెలెక్టర్లు రూటింగ్ నిర్ణయం, అధికార నిర్ణయం కాదు. రెండు సబ్నెట్లను కవర్ చేసే విశాల సెలెక్టర్ రూటింగ్కు సరైనది కావచ్చు, అయితే ఫైర్వాల్ ఇంకా ఒక హోస్ట్కు TCP 443కి మాత్రమే అనుమతి ఇస్తుంది. సెలెక్టర్ టన్నెల్ కోసం చర్చించబడుతుంది మరియు దానిలో ఏది ప్రవేశించగలదో వివరిస్తుంది, ఏ పరికరం ఏమి ఉపయోగించగలదో కాదు. సెలెక్టర్ విశాలంగా ఉందని ఎప్పుడూ ఫైర్వాల్ నియమాన్ని విస్తరించవద్దు.

iptables -A FORWARD -i tun0 -s 10.20.0.0/24 -d 10.10.5.10 -p tcp --dport 443 -j ACCEPT
iptables -A FORWARD -i tun0 -j DROP

NAT మరియు అతివ్యాప్తి సబ్నెట్లు నియమాలను మారుస్తాయి

శాఖ గేట్వే టన్నెల్కు ముందు ప్రతి హోస్ట్ను ఒకే చిరునామాగా అనువదించినప్పుడు, మూల ఆధారిత ప్రతి వరుస ఆ ఒకే చిరునామాలో కూలిపోతుంది. ఒకటి టన్నెల్ ట్రాఫిక్ అనువాదాన్ని ఆపండి, లేదా నియమాలు మరేదైనా, ఉదాహరణకు అనువాదానికి ముందు నమోదైన అసలు మూల చిరునామాపై ఆధారపడాలని అంగీకరించండి. దూర మొనకు కూడా అదే సమస్య ఉంది, ఎందుకంటే గమ్య హోస్ట్ అసలైనది కాదు, NAT తర్వాత చిరునామాను చూస్తుంది.

అతివ్యాప్తి పరిధులు మరో ఉచ్చు. రెండూ 192.168.1.0/24 ఉపయోగించే రెండు కార్యాలయాలను ఒక వైపు మ్యాపింగ్ చేయకుండా ఒకే విధాన పట్టికలో వివరించలేము, మ్యాపింగ్ ఢీకొనని చిరునామా కేటాయింపుకు ప్రత్యామ్నాయం కాదు. తర్వాత విప్పాల్సిన నియమాలను రాసే ముందు ప్రణాళికను సరిచేయండి.

తిరస్కరణను నిరూపించండి, విజయాన్ని మాత్రమే కాదు

అనుమతించిన అప్లికేషన్ను మాత్రమే పరీక్షించడం చాలా తక్కువ నిరూపిస్తుంది, ఎందుకంటే పైన ఎక్కడో ఒక వదులైన నియమం అదే ఫలితాన్ని ఇస్తుంది.

సాధారణ శాఖ పరికరం నుండి ఉద్దేశించిన సేవను చేరుకోండి మరియు మొత్తం సెషన్ పని చేస్తుందని నిర్ధారించండి. తర్వాత మూసివేయబడాల్సిన గమ్యాన్ని ప్రయత్నించండి, ఉదాహరణకు శాఖతో ఎలాంటి సంబంధం లేని సర్వర్లోని పరిపాలనా పోర్ట్, మరియు దాన్ని పడగొట్టిన కౌంటర్ లేదా లాగ్ నమోదును చదవండి. నియమాల సమితి పని చేస్తుందో లేదో చూడటానికి దాన్ని నిష్క్రియం చేయడం పరీక్షను చెల్లనిది చేస్తుంది మరియు మీరు చూస్తున్నప్పుడు గేట్వేను తెరిచే ఉంచుతుంది.

జాబితాను సజీవంగా ఉంచండి

అప్లికేషన్లు కదులుతాయి, తన అప్లికేషన్ కంటే ఎక్కువ కాలం జీవించే నియమం ఎవరికీ స్వంతం కాని రంధ్రంగా మారుతుంది. సమీక్ష తేదీని వరుసకు జోడించండి, మరియు సేవ చిరునామా మారినప్పుడు అదే నిర్వహణ దశలో సెలెక్టర్ పరిధిని మరియు ఫైర్వాల్ నియమాన్ని మార్చండి.

టన్నెల్ వెనుక కూడా హోస్ట్ స్థాయి పరిమితులు ముఖ్యం: సర్వర్ సొంత ఫైర్వాల్ శాఖ పరిధిని అది ప్రచురించే సేవకు మాత్రమే అంగీకరించాలి. సరిపోలే రెండు పొరలు పూర్తిగా నమ్మే ఒక పొర కంటే ఆడిట్ చేయడం సులభం.