Site-to-site na VPN: aling direksyon ang talagang kailangan ng panuntunan?

Parehong nag-uulat ng naitatag na tunnel ang dalawang dulo, sumasagot ang malayong sangay mula sa gateway, at nag-time out pa rin ang application para sa mga user sa isang panig. Ang karaniwang payo ay magdagdag ng panuntunan ng firewall sa parehong direksyon. Minsan tama iyon, minsan dinudoble nito ang panuntunang dati nang umiiral, at minsan ang ikalawang panuntunan ang sumisira sa estado. Aling kaso ang naaangkop ay depende sa kung saan nakikita ng firewall ang packet.

Binabago ng stateful na pagbabalik ng trapiko ang bilang

Ang firewall na may estado ay nagtatala ng kahilingan at pinapayagan ang tugon nang walang ikalawang panuntunan, kaya normal ang disenyong kailangan lamang ng isang panuntunan. Ang listahan ng access na walang estado ay walang ganoong memorya, at ang tugon ay dapat hayagang payagan. Pareho silang tama sa sariling platform, kaya nagkakasalungatan ang mga payo.

Basahin ang dokumentasyon ng pagpapasa para sa platform na nasa harap mo, at tingnan kung ang patakarang iyong ine-edit ay may estado sa lugar kung saan nakikita nito ang packet. Ang hayagang pagtanggi para sa naitatag na trapiko, o pagkakasunod-sunod ng panuntunan na sinusuri ang tugon bago ang talahanayan ng estado, ay ginagawang palaisipan ang gumaganang disenyo. Ang bilang ng panuntunan ay detalye ng implementasyon, habang ang pangangailangan ay makumpleto ang parehong direksyon ng pinahintulutang usapan.

Kung saan nakikita ng firewall ang mga na-decrypt na packet

Sa tunnel na batay sa patakaran, maaaring suriin ng firewall ang naka-encrypt na packet bago ang decryption at ang na-decrypt na packet pagkatapos, sa magkaibang interface. Ang panuntunang isinulat para sa maling interface ay naroroon, tama, at hindi kailanman tumutugma. Ganoon kung paano nabibigo sa magkaparehong hardware ang isang set ng panuntunang kinopya mula sa gumaganang deployment.

Ang IPsec na batay sa ruta at karamihan sa modernong implementasyon ay naglalahad ng tunnel interface, kaya dumarating doon ang na-decrypt na packet at nalalapat ang ordinaryong panuntunan ng interface. Kumpirmahin kung aling modelo ang ginagamit ng deployment bago kopyahin ang set ng panuntunan mula sa gabay na isinulat para sa isa pa. Ang tunnel interface din ang lugar na titingnan kapag kailangan mong malaman kung na-decrypt man ang isang packet.

Sinisira ng asymmetric na routing ang palagay

Ipinapalagay ng firewall na may estado na nakikita nito ang dalawang kalahati ng usapan. Kung bumalik ang tugon sa ibang gateway, wala ang device na iyon ng estado para sa kahilingan at itinatapon ito ayon sa sariling patakaran. Ang sintomas ay one-way na pagkabigo na walang panuntunan sa panig ng nagpapadala ang makakapag-ayos. Sundan ang landas ng tugon bago i-edit ang anuman.

Tingnan ang ruta ng tugon bago magdagdag ng malawak na panuntunan ng pagpayag sa magkabilang panig. Ang pagpapahintulot sa lahat sa bawat interface ay nagtatago ng pagkakamali sa routing at nagpapalawak ng access sa parehong oras, na siyang pinakamasamang kombinasyong magagamit.

Tingnan ang parehong direksyon gamit ang tunay na source address

Subukan gamit ang address na aktwal na nakikita ng malayong panig, dahil ang pagsasalin ay maaaring gawing walang tugma ang panuntunan ng source. Patakbuhin ang pagkuha sa parehong gateway nang sabay.

tcpdump -ni any 'host 10.30.8.15 and tcp port 443'
nft list ruleset | grep -A 8 'chain forward'
ip route get 10.30.8.15
conntrack -L | grep 10.30.8.15

Ang kahilingang lumilitaw sa malayong gateway na may hindi inaasahang source address ay nagpapaliwanag ng panuntunang hindi kailanman tumutugma, at ang tugon na dumarating sa maling interface ay nagpapaliwanag ng hindi pagkakatugma ng estado. Pagkatapos, subukan ang isang destinasyon sa loob ng aprubadong saklaw at isa sa labas, upang ang hangganan ay maipakita sa halip na ipagpalagay.

Itala ang source address pagkatapos ng pagsasalin, ang interface na ginamit ng na-decrypt na packet, at ang panuntunang tumugma. Ang tatlong katotohanang iyon ay sumasagot sa susunod na ticket nang hindi inuulit ang buong imbestigasyon.