VPN istemci trafiği ve güvenlik duvarı durumu: dış ve iç akış

VPN el sıkışması tamamlanır, istemci bir adres alır ve ağ geçidinin arkasındaki hizmet bağlantıyı yine de reddeder. Güvenlik duvarı çoğu zaman kendisine söyleneni tam olarak yapar. Dış tünel akışına izin vermiştir ve bu, kapsülü çözülmüş uygulama bağlantısından farklı bir pakettir. Buradan iki karar çıkar: hangi akışa izin veriyorsunuz ve sınır durumu hiç izliyor mu.

Bu ikisini ayırana kadar her kural değişikliği bir tahmindir.

Güvenlik duvarı iki farklı paket görür

Kapsül çözmeden önce güvenlik duvarı, VPN uç noktasına adreslenmiş trafiği görür: dinleyiciye doğru dış UDP akışı. Kapsül çözüldükten sonra iletilen paket, istemcinin iç adresini ve hizmetin hedefini taşır.

Dış akış için verilen izin, iletilen TCP bağlantısını yetkilendirmez. Bunlar farklı zincirlerde, farklı arayüzler karşısında ve çeviriden sonra farklı adreslerle değerlendirilebilir.

Her iki taraftaki eşdeğer konumlardan alınan yakalamaları karşılaştırın. Tünel kenarındaki yakalama ile sunucudaki yakalama, aynı oturum için farklı demetler gösterir.

İlk karar: tünele mi hizmete mi izin verileceği

İstemcinin yalnızca VPN uç noktasının kendisine ihtiyacı varsa dış izin yeterli olabilir. Ağ geçidinin ötesinde bir hizmete ihtiyacı varsa o hedef ve bağlantı noktası için iletim izni gerekir. Hizmete de izin veren bir tünel kuralı, adlandırmanız gereken bir tasarım kararıdır, kaza değil.

İstemci aralığını ve hizmet kapsamını dar tutun. Tünel alt ağından tüm yerel ağa verilen izin, her ana bilgisayara güvenme kararıdır; tek bir uygulama için kısayol değildir.

İki kuralı ayrı ayrı yazın. Tünel kuralı ile hizmet kuralı farklı biçimlerde başarısız olur ve farklı kanıtlarla hata ayıklanır. Biri başarısız olduğunda hangi katmanı önce inceleyeceğinizi bilirsiniz.

İkinci karar: her sınırda durumlu mu durumsuz mu

Kurulmuş akış kuralı izin verilen bir alışveriş için yanıtları geçirebilir, ancak davranışı ürüne bağlıdır. Bulut güvenlik grubu genellikle durumu izler; alt ağ erişim denetim listesi çoğu zaman izlemez ve iki yönde de açık işlem gerektirir. Yoldaki her sınırın duruma aynı şekilde baktığını varsaymayın. Kuralları tasarlamadan önce her sınırı listeleyin ve durum izleyen ya da izlemeyen olarak işaretleyin.

Bir kural değişirse, mevcut izlenen akışlar çalışmaya devam ederken yenileri başarısız olabilir, ya da tersi. Bu fark yararlı bir ipucudur; canlı bir ağ geçidinde tüm bağlantı durumunu boşaltmak için neden değildir.

Yeni ve denetimli bir istekle test edin ve ilgili sayaçları inceleyin. Temiz bir test, kesintiye yol açan sıfırlamadan daha iyidir. Sayaç adını değişiklik kaydına yazın ki bir sonraki test aynı kanıtı kullansın.

Dönüş yolunu aynı ilke altında doğrulayın

İstemciden hizmete yeni bir istek gönderin, ardından her sınırda gidiş ve dönüş sayaçlarını denetleyin. Yanıtın beklediğiniz yolu kullandığını doğrulayın, özellikle çeviri işin içindeyse.

Amaçlanan istemci aralığını ve hizmet kapsamını dar tutun ve dönüş yolunu isteğe izin veren aynı kural kümesi altında doğrulayın. Yalnızca eski bir akış hâlâ açık olduğu için çalışan bir kural, çalışan bir kural değildir.