మీ సైట్ VPN ఎక్కడ ముగుస్తుందో అది ఏమి పరిశీలించబడుతుందో నిర్ణయిస్తుంది
సైట్ల మధ్య ట్రాఫిక్‌ను డిక్రిప్ట్ చేసే పరికరం ఫైర్‌వాల్ ఇంకా ఏమి పరిశీలించగలదో నిర్ణయిస్తుంది. మొదట సరిహద్దును గీయండి, తర్వాత రౌటర్ లేదా ఫైర్‌వాల్‌ను ఎంచుకోండి.
సైట్ల మధ్య సొరంగం మొత్తం పరిశీలన రూపకల్పనను నిర్ణయించే ఒక వివరాన్ని దాచుతుంది: లోపలి ప్యాకెట్ స్పష్టమైన పాఠ్యంగా కనిపించే సరిగ్గా ఆ పరికరం. ఆ బిందువుకు ముందు అన్నీ ESP చూస్తాయి, దాని తర్వాత అన్నీ ఒక నియమం పట్టుకోగల సాధారణ IP చూస్తాయి. సరిహద్దును తప్పు చోట పెడితే మీరు డబ్బు చెల్లించిన ఫైర్‌వాల్ లైసెన్స్ ఉన్న రౌటర్‌గా మారుతుంది. కింది మార్గదర్శనం మొదట గీతను గీసి, ఆ తర్వాతే ఏ పరికరం దానిని కలిగి ఉండాలో అడుగుతుంది.
ప్యాకెట్ ఇకపై ఎన్‌క్రిప్ట్ చేయబడని చోట గీతను గీయండి
టన్నెల్ మోడ్‌లో అసలు ప్యాకెట్ ఎన్‌క్రిప్ట్ చేయబడి, తోటి గేట్‌వేకు చిరునామా ఇచ్చిన కొత్త బయటి IP హెడర్‌లో చుట్టబడుతుంది. ఆ బయటి ప్యాకెట్ ESP కోసం ప్రోటోకాల్ 50 మోసుకెళ్తుంది, కాబట్టి రెండు గేట్‌వేల మధ్య ఏ పరికరమైనా లోపలి చిరునామాలు చదవకుండా దాన్ని రౌట్ చేయగలదు. డిక్రిప్ట్ చేసే మొదటి పరికరమే భద్రతా సరిహద్దు, అదే లోపలి ప్రవాహంపై విధానాన్ని అమలు చేయగల మొదటి పరికరం కూడా. ఆ బిందువు కింద అన్నీ సాధారణ రౌటింగ్.
చిత్రంపై మూడు విషయాలను గుర్తించండి: ESPని అంగీకరించే బయటి చివరి బిందువు, విధానంలో పేర్కొన్న రక్షిత నెట్‌వర్క్‌లు, మరియు డిక్రిప్ట్ అయిన ప్యాకెట్ తీసుకునే తదుపరి అడుగు. ఈ మూడూ ఒకే పరికరంలో లేకపోతే మీకు రూపకల్పన చేయాల్సిన బదిలీ ఉంది, ఒకే నియంత్రణ బిందువు కాదు.
RFC 4301 డిక్రిప్ట్ చేసే పరికరాన్ని భద్రతా గేట్‌వే అని పిలుస్తుంది, దాని విధానాన్ని సరిహద్దులో భాగంగా చూస్తుంది. ఇది ఉత్పత్తి వర్గం కంటే ఉపయోగకరమైన చట్రం, ఎందుకంటే పరికరం విధానాన్ని కలిగి ఉన్నప్పుడు సరిహద్దు అవుతుంది, దాని డేటా షీట్ ఫైర్‌వాల్ అని చెప్పినప్పుడు కాదు.
ఫైర్‌వాల్ ముగింపుగా: ఒక పరికరం, ఒక విధాన బిందువు
ఫైర్‌వాల్ సొరంగాన్ని ముగించినప్పుడు, పైన ఉన్న రౌటర్ దానికి ESP మాత్రమే అందించాలి. ఫైర్‌వాల్ తోటిని ధృవీకరించి, డిక్రిప్ట్ చేసి, ఆపై సర్వర్ VLAN వైపు వెళ్తున్న లోపలి ప్యాకెట్‌పై తన సాధారణ నియమాలను అమలు చేస్తుంది. ఇది విధానం చదవడానికి ఒక చోటు, లాగ్‌లు చదవడానికి ఒక చోటు ఇస్తుంది, ఆడిట్ సాధారణంగా అడిగేది అదే.
రెండు అనుమతులను విడివిడిగా తనిఖీ చేయండి. పరికరానికి IKE మరియు ESP అనుమతించడం దూర సైట్ సర్వర్‌ను చేరుకోవడానికి అనుమతించడం వంటి అదే నియమం కాదు, మరియు సొరంగాన్ని అంగీకరిస్తూ లోపలి ప్రవాహాన్ని నిరోధించే ఫైర్‌వాల్ మరో చివర నుండి సరిగ్గా పాడైన సొరంగంలా కనిపిస్తుంది.
ధర ఏమిటంటే ఫైర్‌వాల్ ఇప్పుడు సైట్ యొక్క మొత్తం ట్రాఫిక్ మార్గంలో ఉంది, కాబట్టి దాని థ్రూపుట్, సెషన్ పరిమితులు మరియు వైఫల్యంలో మారే ప్రవర్తన సొరంగం ప్రవర్తనే అవుతాయి. దాన్ని కలిపిన సైట్ ప్రవాహాల కోసం కొలవండి, బహుశా కొన్న దూర ప్రాప్యత ప్రొఫైల్ కోసం కాదు.
రౌటర్ ముగింపుగా: పరిశీలన అడుగు ఐచ్ఛికమవుతుంది
రౌటర్ డిక్రిప్ట్ చేసినప్పుడు, ప్యాకెట్ రౌటింగ్ పట్టికను చేరుకునేటప్పుడు ఇప్పటికే స్పష్టంగా ఉంటుంది. వేరే ఫైర్‌వాల్ ఆ ట్రాఫిక్‌ను పరిశీలించాల్సి ఉంటే, రౌటర్ దాన్ని ఫైర్‌వాల్ ద్వారా పంపాలి మరియు తిరుగు మార్గం అదే విధంగా తిరిగి రావాలి. రౌటర్ నుండి సర్వర్ VLAN వరకు నేరుగా మార్గం ఫైర్‌వాల్‌ను నిశ్శబ్దంగా మార్గం నుంచి తొలగిస్తుంది కానీ చిత్రంలో ఉంచుతుంది.
ఇదే ఉన్న నెట్‌వర్క్‌లో వెతకాల్సిన లోపం: ఒకే ప్రిఫిక్స్‌కు రెండు మార్గాలు, ఒకటి ఫైర్‌వాల్ ద్వారా మరియు ఒకటి నేరుగా, నేరుగా ఉన్నది ప్రిఫిక్స్ పొడవు లేదా మెట్రిక్‌పై గెలుస్తుంది. సొరంగం ఇంకా ట్రాఫిక్‌ను దాటిస్తుంది మరియు మీరు నమ్మే పరిశీలన జరగదు.
మార్గం ఆధారిత సొరంగాలు దీన్ని కనిపించేలా చేస్తాయి, ఎందుకంటే సొరంగం మరో పరికరం ద్వారా రౌట్ చేయగల ఇంటర్‌ఫేస్. విధాన ఆధారిత సొరంగాలు ట్రాఫిక్‌ను ఎంపికదారు ద్వారా ఎంచుకుంటాయి, ఇది డిక్రిప్ట్ అయిన ప్యాకెట్‌ను రౌటర్‌పై మరో గమ్యం లేకుండా వదిలేయగలదు.
రెండు అభ్యర్థులను అదే ఐదు ప్రశ్నలు అడగండి
చిన్న పని పత్రం ఫీచర్ మ్యాట్రిక్స్‌ను ఓడిస్తుంది, ఎందుకంటే ప్రతి ప్రశ్న చిత్రంలోని ఒక గీతకు సరిపోతుంది. ప్రతి అభ్యర్థిని అడగండి:
- ఏ IKE సంస్కరణలు, ఏ తోటి ధృవీకరణ పద్ధతులు మరియు ఏ రౌటింగ్ నమూనాలు ఈ విడుదల నిజంగా మద్దతిస్తుంది?
- ESP ఎక్కడ అంగీకరించబడుతుంది మరియు డిక్రిప్ట్ అయిన ప్రవాహం ఎక్కడ అనుమతించబడుతుంది లేదా నిరాకరించబడుతుంది?
- స్థానిక హోస్ట్‌లు దూర ప్రిఫిక్స్‌లను ఎలా నేర్చుకుంటాయి మరియు మరో వైపు మీవి ఎలా నేర్చుకుంటుంది?
- నిజమైన భారం కోసం చివరి బిందువు ఎంత థ్రూపుట్, ఎన్ని సెషన్లు మరియు వైఫల్యంలో మారే ఎలాంటి ప్రవర్తనను తట్టుకోవాలి?
- సొరంగమే పాడైన వస్తువు అయినప్పుడు తోటి ఆధారాలు, విధానం మరియు పునరుద్ధరణ మార్గం యజమాని ఎవరు?
pfSense విధాన ఆధారిత మరియు మార్గం ఆధారిత IPsecను వేర్వేరు పరిమితులతో వేర్వేరు నమూనాలుగా నమోదు చేస్తుంది, మరియు ఈ భేదం పెట్టెపై లేబుల్ కంటే ముఖ్యం. మీరు నిజంగా అమలు చేయబోయే విడుదలలో ఖచ్చితమైన మోడ్ మరియు డిక్రిప్ట్ అయిన ట్రాఫిక్ యొక్క మద్దతు ఉన్న ఫిల్టరింగ్‌ను తనిఖీ చేయండి.
ఏదైనా అభ్యర్థి రెండో ప్రశ్నకు మీరు చదవగల నియమంతో సమాధానం ఇవ్వలేకపోతే, మిగతావన్నీ ఎంత బాగా చేసినా అది మీరు కోరుకునే సరిహద్దు కాదు. అవును బదులు నియమ పాఠ్యాన్ని అడగండి మరియు అస్పష్ట సమాధానాన్ని కాదు అని భావించండి.
మార్గాన్ని క్యాప్చర్‌తో ధృవీకరించండి, చిత్రంతో కాదు
చిత్రం ఉద్దేశాన్ని వివరిస్తుంది, క్యాప్చర్ ప్రవర్తనను వివరిస్తుంది, కాబట్టి ఏదో ఒకదానిని నమ్మే ముందు ఏ ఇంటర్‌ఫేస్ ESPని మరియు ఏది లోపలి ప్రవాహాన్ని మోసుకెళ్తుందో నిర్ధారించండి.
tcpdump -ni wan0 esp
tcpdump -ni lan0 host 10.60.4.20
ip xfrm policy listమొదటి క్యాప్చర్ ESP వస్తున్నట్లు చూపిస్తే మరియు రెండోది లోపలి ప్యాకెట్‌ను LAN వైపు చూపిస్తే, డిక్రిప్షన్ బిందువు మీరు అనుకున్న చోటే ఉంది. లోపలి ప్యాకెట్ ఫైర్‌వాల్‌ను బైపాస్ చేసే విభాగంలో కనిపిస్తే, విధాన పాఠ్యం ఏమి చెప్పినా రౌటింగ్ తప్పు. xfrm జాబితా అప్పుడు ఏ ఎంపికదారులు ఇన్‌స్టాల్ అయ్యాయో మరియు ఏ దిశలో ఉన్నాయో చూపిస్తుంది.
తిరుగు మార్గంలో క్యాప్చర్‌ను పునరావృతం చేయండి, ఎందుకంటే సైట్‌కు రెండు సాధ్యమైన నిష్క్రమణలు ఉన్నప్పుడు అసమాన రౌటింగ్ సాధారణం. ఒక దిశలో పనిచేసి మరో దిశలో సమయం ముగిసే సొరంగం దాదాపు ఎప్పుడూ ఇదే, మరియు మరో వైపు ఏ విధాన సవరణా దాన్ని సరిచేయదు.