VPN క్లయింట్ ట్రాఫిక్ మరియు ఫైర్వాల్ స్థితి: బయటి మరియు లోపలి ప్రవాహం
టన్నెల్ ప్రవాహం మరియు డీక్యాప్సులేట్ చేసిన కనెక్షన్ వేర్వేరు ప్యాకెట్లు. మీరు ఏదానికి అనుమతి ఇస్తున్నారు, ప్రతి సరిహద్దు స్థితిని ట్రాక్ చేస్తుందా అని నిర్ణయించండి.
VPN హ్యాండ్‌షేక్ పూర్తవుతుంది, క్లయింట్ చిరునామా పొందుతుంది, అయినా గేట్వే వెనుక ఉన్న సేవ కనెక్షన్‌ను తిరస్కరిస్తూనే ఉంటుంది. ఫైర్వాల్ తరచుగా తనకు చెప్పినదే ఖచ్చితంగా చేస్తుంది. అది బయటి టన్నెల్ ప్రవాహానికి అనుమతి ఇచ్చింది, అది డీక్యాప్సులేట్ చేసిన అప్లికేషన్ కనెక్షన్ కంటే వేరైన ప్యాకెట్. దీని నుండి రెండు నిర్ణయాలు వస్తాయి: మీరు ఏ ప్రవాహానికి అనుమతి ఇస్తున్నారు, మరియు సరిహద్దు స్థితిని అసలు ట్రాక్ చేస్తుందా.
ఈ రెండింటిని వేరు చేసే వరకు, ప్రతి నియమ మార్పు ఒక ఊహ.
ఫైర్వాల్ రెండు వేర్వేరు ప్యాకెట్లను చూస్తుంది
డీక్యాప్సులేషన్‌కు ముందు, ఫైర్వాల్ VPN ఎండ్‌పాయింట్‌కు చిరునామా చేసిన ట్రాఫిక్‌ను చూస్తుంది: శ్రోత వైపు బయటి UDP ప్రవాహం. డీక్యాప్సులేషన్ తర్వాత, ఫార్వర్డ్ చేసిన ప్యాకెట్ క్లయింట్ లోపలి చిరునామా మరియు సేవ గమ్యాన్ని మోసుకెళ్తుంది.
బయటి ప్రవాహానికి ఇచ్చిన అనుమతి ఫార్వర్డ్ చేసిన TCP కనెక్షన్‌కు అధికారం ఇవ్వదు. వాటిని వేర్వేరు చైన్‌లలో, వేర్వేరు ఇంటర్‌ఫేస్‌ల ఎదుట, అనువాదం తర్వాత వేర్వేరు చిరునామాలతో మూల్యాంకనం చేయవచ్చు.
రెండు వైపుల సమాన స్థానాల నుండి తీసుకున్న క్యాప్చర్‌లను పోల్చండి. టన్నెల్ అంచున ఉన్న క్యాప్చర్ మరియు సర్వర్‌పై ఉన్న క్యాప్చర్ ఒకే సెషన్‌కు వేర్వేరు టుపుల్‌లను చూపుతాయి.
మొదటి నిర్ణయం: టన్నెల్ లేదా సేవకు అనుమతి
క్లయింట్‌కు VPN ఎండ్‌పాయింట్ మాత్రమే కావాలంటే, బయటి అనుమతి సరిపోవచ్చు. గేట్వే దాటిన సేవ కావాలంటే, ఆ గమ్యం మరియు పోర్టుకు ఫార్వర్డింగ్ అనుమతి కావాలి. సేవకు కూడా అనుమతి ఇచ్చే టన్నెల్ నియమం మీరు పేరు పెట్టవలసిన రూపకల్పన ఎంపిక, ప్రమాదం కాదు.
క్లయింట్ పరిధిని మరియు సేవ పరిధిని ఇరుకుగా ఉంచండి. టన్నెల్ సబ్‌నెట్ నుండి మొత్తం LAN వరకు అనుమతి ప్రతి హోస్ట్‌ను నమ్మే నిర్ణయం, ఒక అప్లికేషన్ కోసం సత్వరమార్గం కాదు.
రెండు నియమాలను విడివిడిగా రాయండి. టన్నెల్ నియమం మరియు సేవా నియమం వేర్వేరు విధాలుగా విఫలమవుతాయి, వేర్వేరు సాక్ష్యాలతో డీబగ్ చేయబడతాయి. ఒకటి విఫలమైతే, మొదట ఏ పొరను పరిశీలించాలో మీకు తెలుసు.
రెండవ నిర్ణయం: ప్రతి సరిహద్దులో స్థితితో లేదా లేకుండా
స్థాపిత-ప్రవాహ నియమం అనుమతించిన మార్పిడికి ప్రతిస్పందనలను లోపలికి పంపగలదు, కానీ దాని ప్రవర్తన ఉత్పత్తిపై ఆధారపడి ఉంటుంది. క్లౌడ్ భద్రతా సమూహం సాధారణంగా స్థితిని ట్రాక్ చేస్తుంది; సబ్‌నెట్ యాక్సెస్ నియంత్రణ జాబితా తరచుగా స్థితిని ట్రాక్ చేయదు మరియు రెండు దిశలలోనూ స్పష్టమైన నిర్వహణ అవసరం. మార్గంలోని ప్రతి సరిహద్దు స్థితిని ఒకే విధంగా చూస్తుందని భావించవద్దు. నియమాలను రూపొందించే ముందు ప్రతి సరిహద్దును జాబితా చేయండి మరియు స్థితితో లేదా లేకుండా గుర్తించండి.
నియమం మారితే, ఇప్పటికే ట్రాక్ చేసిన ప్రవాహాలు పని కొనసాగించవచ్చు, కొత్తవి విఫలమవుతాయి, లేదా దీనికి విరుద్ధంగా కూడా. ఆ తేడా ఉపయోగకరమైన సూచన, సజీవ గేట్‌వేపై మొత్తం కనెక్షన్ స్థితిని ఖాళీ చేయడానికి కారణం కాదు.
కొత్త నియంత్రిత అభ్యర్థనతో పరీక్షించి సంబంధిత కౌంటర్‌లను పరిశీలించండి. శుభ్రమైన పరీక్ష భంగం కలిగించే రీసెట్ కంటే మేలు. మార్పు రికార్డులో కౌంటర్ పేరు రాయండి, తదుపరి పరీక్ష అదే సాక్ష్యాన్ని ఉపయోగించేలా.
అదే విధానం కింద తిరిగి వచ్చే మార్గాన్ని ధృవీకరించండి
క్లయింట్ నుండి సేవకు కొత్త అభ్యర్థన పంపి, తర్వాత ప్రతి సరిహద్దులో ముందుకు మరియు తిరిగి వచ్చే కౌంటర్‌లను పరిశీలించండి. ప్రతిస్పందన మీరు ఆశించిన మార్గాన్ని ఉపయోగిస్తున్నదని నిర్ధారించండి, ముఖ్యంగా అనువాదం ఉన్నట్లయితే.
ఉద్దేశించిన క్లయింట్ పరిధిని మరియు సేవ పరిధిని ఇరుకుగా ఉంచి, అభ్యర్థనకు అనుమతి ఇచ్చిన అదే నియమ సమితి కింద తిరిగి వచ్చే మార్గాన్ని ధృవీకరించండి. పాత ప్రవాహం ఇంకా తెరిచి ఉన్నందున మాత్రమే పని చేసే నియమం పని చేసే నియమం కాదు.