ทราฟฟิกไคลเอนต์ VPN และสถานะไฟร์วอลล์: การไหลภายนอกและภายใน

แฮนด์เชก VPN เสร็จสิ้น ไคลเอนต์ได้รับที่อยู่ แต่บริการหลังเกตเวย์ยังปฏิเสธการเชื่อมต่อ ไฟร์วอลล์มักทำตามที่ได้รับคำสั่งอย่างแม่นยำ มันอนุญาตการไหลของอุโมงค์ภายนอก ซึ่งเป็นแพ็กเก็ตที่ต่างจากการเชื่อมต่อแอปพลิเคชันที่ถอดหุ้มแล้ว จึงเกิดการตัดสินใจสองข้อ คือคุณอนุญาตการไหลแบบใด และขอบเขตติดตามสถานะหรือไม่

จนกว่าคุณจะแยกสองสิ่งนี้ออก การเปลี่ยนกฎทุกครั้งคือการเดา

ไฟร์วอลล์เห็นแพ็กเก็ตสองแบบที่ต่างกัน

ก่อนถอดหุ้ม ไฟร์วอลล์เห็นทราฟฟิกที่ส่งถึงปลายทาง VPN คือการไหล UDP ภายนอกไปยังตัวรับฟัง หลังถอดหุ้ม แพ็กเก็ตที่ส่งต่อจะพาที่อยู่ภายในของไคลเอนต์และปลายทางของบริการ

การอนุญาตการไหลภายนอกไม่ได้ให้สิทธิ์แก่การเชื่อมต่อ TCP ที่ส่งต่อ ทั้งสองอาจถูกประเมินในเชนที่ต่างกัน บนอินเทอร์เฟซที่ต่างกัน และด้วยที่อยู่ที่ต่างกันหลังการแปลง

เปรียบเทียบแคปเจอร์จากตำแหน่งที่เทียบเท่ากันทั้งสองด้าน แคปเจอร์ที่ขอบอุโมงค์และแคปเจอร์ที่เซิร์ฟเวอร์แสดงทูเพิลที่ต่างกันสำหรับเซสชันเดียวกัน

การตัดสินใจข้อแรก: อนุญาตอุโมงค์หรือบริการ

หากไคลเอนต์ต้องการเพียงปลายทาง VPN เอง การอนุญาตภายนอกอาจเพียงพอ หากต้องการบริการเลยเกตเวย์ไป คุณต้องมีการอนุญาตส่งต่อสำหรับปลายทางและพอร์ตนั้น กฎอุโมงค์ที่อนุญาตบริการด้วยเป็นการเลือกออกแบบที่คุณควรระบุชื่อ ไม่ใช่เรื่องบังเอิญ

รักษาช่วงไคลเอนต์และขอบเขตของบริการให้แคบ การอนุญาตจากซับเน็ตของอุโมงค์ไปยัง LAN ทั้งหมดคือการตัดสินใจไว้วางใจทุกโฮสต์ ไม่ใช่ทางลัดสำหรับแอปเดียว

เขียนกฎทั้งสองแยกกัน กฎอุโมงค์และกฎบริการล้มเหลวต่างกันและถูกดีบักด้วยหลักฐานต่างกัน เมื่อข้อหนึ่งล้มเหลว คุณรู้ว่าต้องตรวจชั้นใดก่อน

การตัดสินใจข้อที่สอง: มีสถานะหรือไม่มีสถานะที่แต่ละขอบเขต

กฎสำหรับการไหลที่สถาปนาแล้วอาจปล่อยคำตอบสำหรับการแลกเปลี่ยนที่ได้รับอนุญาต แต่พฤติกรรมขึ้นอยู่กับผลิตภัณฑ์ กลุ่มความปลอดภัยบนคลาวด์มักติดตามสถานะ ส่วนรายการควบคุมการเข้าถึงของซับเน็ตมักไม่ติดตามและต้องจัดการอย่างชัดเจนทั้งสองทิศทาง อย่าสมมติว่าทุกขอบเขตบนเส้นทางจัดการสถานะเหมือนกัน ระบุทุกขอบเขตและทำเครื่องหมายว่ามีหรือไม่มีสถานะก่อนออกแบบกฎ

หากกฎเปลี่ยน การไหลที่ติดตามอยู่แล้วอาจยังทำงานได้ในขณะที่การไหลใหม่ล้มเหลว หรือกลับกัน ความต่างนั้นเป็นเบาะแสที่มีประโยชน์ ไม่ใช่เหตุผลที่จะล้างสถานะการเชื่อมต่อทั้งหมดบนเกตเวย์ที่ใช้งานอยู่

ทดสอบด้วยคำขอใหม่ที่ควบคุมได้และตรวจสอบตัวนับที่เกี่ยวข้อง การทดสอบที่สะอาดดีกว่าการรีเซ็ตที่รบกวน บันทึกชื่อตัวนับในบันทึกการเปลี่ยนแปลงเพื่อให้การทดสอบครั้งถัดไปใช้หลักฐานเดียวกัน

ตรวจสอบเส้นทางขากลับภายใต้นโยบายเดียวกัน

ส่งคำขอใหม่จากไคลเอนต์ไปยังบริการ แล้วตรวจสอบตัวนับขาไปและขากลับที่แต่ละขอบเขต ยืนยันว่าคำตอบใช้เส้นทางที่คุณคาดไว้ โดยเฉพาะเมื่อมีการแปลงที่อยู่เกี่ยวข้อง

รักษาช่วงไคลเอนต์ที่ตั้งใจและขอบเขตของบริการให้แคบ และตรวจสอบเส้นทางขากลับภายใต้ชุดกฎเดียวกันที่อนุญาตคำขอ กฎที่ทำงานได้เพียงเพราะการไหลเก่ายังเปิดอยู่ไม่ใช่กฎที่ใช้งานได้