Трафік клієнта VPN і стан міжмережевого екрана: зовнішній і внутрішній потік

Рукостискання VPN завершується, клієнт отримує адресу, а служба за шлюзом усе одно відхиляє з’єднання. Міжмережевий екран часто робить саме те, що йому сказано. Він дозволив зовнішній потік тунелю, а це інший пакет, ніж декапсульоване з’єднання застосунку. Звідси два рішення: який потік ви дозволяєте і чи межа взагалі відстежує стан.

Доки ви не розділите ці дві речі, будь-яка зміна правила — здогад.

Міжмережевий екран бачить два різні пакети

До декапсуляції міжмережевий екран бачить трафік, адресований кінцевій точці VPN: зовнішній потік UDP до слухача. Після декапсуляції пересланий пакет несе внутрішню адресу клієнта й призначення служби.

Дозвіл для зовнішнього потоку не дає прав на переслане з’єднання TCP. Їх можуть оцінювати в різних ланцюжках, на різних інтерфейсах і з різними адресами після трансляції.

Порівняйте захоплення з рівноцінних позицій з обох боків. Захоплення на краю тунелю й захоплення на сервері показують різні кортежі для одного сеансу.

Перше рішення: дозволити тунель чи службу

Якщо клієнту потрібна лише сама кінцева точка VPN, зовнішнього дозволу може бути достатньо. Якщо йому потрібна служба за шлюзом, потрібен дозвіл на пересилання до цього призначення й порту. Правило тунелю, яке дозволяє ще й службу, — це проєктне рішення, яке слід назвати, а не випадковість.

Тримайте діапазон клієнта й обсяг служби вузькими. Дозвіл від підмережі тунелю до всієї локальної мережі — це рішення довіряти кожному хосту, а не короткий шлях для одного застосунку.

Запишіть обидва правила окремо. Правило тунелю й правило служби відмовляють по-різному й налагоджуються різними доказами. Коли одне відмовляє, ви знаєте, який рівень перевіряти першим.

Друге рішення: зі станом чи без нього на кожній межі

Правило встановленого потоку може пропускати відповіді для дозволеного обміну, але його поведінка залежить від продукту. Хмарна група безпеки зазвичай відстежує стан; список контролю доступу підмережі часто не відстежує і потребує явної обробки в обидва боки. Не припускайте, що кожна межа на шляху ставиться до стану однаково. Перелічіть кожну межу й позначте її з відстеженням стану чи без нього, перш ніж проєктувати правила.

Якщо правило змінюється, наявні відстежувані потоки можуть далі працювати, а нові — відмовляти, або навпаки. Ця різниця — корисна підказка, а не причина скидати весь стан з’єднань на робочому шлюзі.

Перевірте свіжим контрольованим запитом і подивіться відповідні лічильники. Чистий тест кращий за руйнівне скидання. Запишіть назву лічильника в журнал змін, щоб наступний тест використав ті самі докази.

Перевірте зворотний шлях за тієї самої політики

Надішліть новий запит від клієнта до служби, потім перевірте лічильники прямого й зворотного напрямку на кожній межі. Підтвердьте, що відповідь іде очікуваним шляхом, особливо якщо задіяна трансляція.

Тримайте передбачуваний діапазон клієнта й обсяг служби вузькими та перевірте зворотний шлях за того самого набору правил, що дозволив запит. Правило, яке працює лише тому, що старий потік ще відкритий, не є робочим правилом.