Siteden siteye VPN: hangi yön gerçekten bir kurala ihtiyaç duyar?

Her iki uç da kurulmuş bir tünel bildiriyor, uzak şube ağ geçidinden yanıt veriyor ve uygulama bir taraftaki kullanıcılar için hâlâ zaman aşımına uğruyor. Olağan tavsiye, her iki yönde bir güvenlik duvarı kuralı eklemektir. Bazen bu doğrudur, bazen zaten var olan bir kuralı çoğaltır, bazen de durumu bozan şey ikinci kuraldır. Hangi durumun geçerli olduğu, güvenlik duvarının paketi nerede gördüğüne bağlıdır.

Durum bilgili dönüş trafiği sayıyı değiştirir

Durum bilgili bir güvenlik duvarı isteği kaydeder ve yanıtı ikinci bir kural olmadan geçirir, bu yüzden yalnızca bir kurala ihtiyaç duyan tasarım normaldir. Durum bilgisiz erişim listesinde böyle bir bellek yoktur ve yanıta açıkça izin verilmelidir. İkisi de kendi platformunda doğrudur, bu yüzden tavsiyeler çelişir.

Önünüzdeki platformun iletim belgelerini okuyun ve düzenlediğiniz politikanın paketi gördüğü yerde durum bilgili olup olmadığını kontrol edin. Kurulmuş trafik için açık bir ret veya yanıtı durum tablosundan önce değerlendiren kural sırası, çalışan bir tasarımı şaşırtıcı hale getirir. Kural sayısı bir uygulama ayrıntısıdır, gereklilik ise izin verilen bir konuşmanın her iki yönünün de tamamlanabilmesidir.

Güvenlik duvarının şifresi çözülmüş paketleri gördüğü yer

Politika tabanlı bir tünelde güvenlik duvarı, şifreli paketi şifre çözmeden önce ve çözülmüş paketi sonra farklı arayüzlerde değerlendirebilir. Yanlış arayüz için yazılmış bir kural mevcuttur, doğrudur ve hiçbir zaman eşleşmez. Çalışan bir dağıtımdan kopyalanan kural kümesi aynı donanımda bu yüzden başarısız olabilir.

Yol tabanlı IPsec ve çoğu modern uygulama bir tünel arayüzü sunar, böylece şifresi çözülmüş paket oraya ulaşır ve olağan arayüz kuralları uygulanır. Kural kümesini diğeri için yazılmış bir kılavuzdan kopyalamadan önce dağıtımın hangi modeli kullandığını doğrulayın. Tünel arayüzü, bir paketin baştan sona şifresinin çözülüp çözülmediğini bilmeniz gerektiğinde bakılacak yer de.

Asimetrik yönlendirme varsayımı kırar

Durum bilgili bir güvenlik duvarı konuşmanın iki yarısını da gördüğünü varsayar. Yanıt farklı bir ağ geçidinden dönerse, o cihaz istek için durum tutmaz ve kendi politikasına göre paketi düşürür. Belirti, gönderen taraftaki hiçbir kuralın onaramadığı tek yönlü bir arızadır. Yanıtın yolunu izleyin herhangi bir şeyi düzenlemeden önce.

Her iki tarafta geniş bir izin kuralı eklemeden önce yanıtın rotasını kontrol edin. Her arayüzde her şeye tahammül etmek yönlendirme hatasını gizler ve aynı zamanda erişimi genişletir; bu, mevcut en kötü kombinasyondur.

Her iki yönü gerçek kaynak adreslerle kontrol edin

Uzak tarafın gerçekten gördüğü adresle test edin, çünkü çeviri bir kaynak kuralının hiçbir şeyle eşleşmemesine yol açabilir. Yakalamayı iki ağ geçidinde aynı anda çalıştırın.

tcpdump -ni any 'host 10.30.8.15 and tcp port 443'
nft list ruleset | grep -A 8 'chain forward'
ip route get 10.30.8.15
conntrack -L | grep 10.30.8.15

Uzak ağ geçidinde beklenmedik bir kaynak adresle görünen istek, hiçbir zaman eşleşmeyen bir kuralı açıklar; yanlış arayüze ulaşan yanıt ise durum uyuşmazlığını açıklar. Ardından onaylanmış kapsam içinde bir hedefi ve dışında bir hedefi test edin, böylece sınır varsayılmak yerine gösterilir.

Çeviriden sonraki kaynak adresi, şifresi çözülmüş paketin kullandığı arayüzü ve eşleşen kuralı kaydedin. Bu üç olgu, tüm araştırmayı yinelemeden bir sonraki talebi yanıtlar.