Shifrlangan tranzit tashuvchiga kirish bermaydi

Ikki tasdiqlangan shlyuz past ishonchli tarmoq trafigini cheklangan transport tarmog‘i orqali olib o‘tadi. Yukni shifrlash uni oddiy tranzit kuzatuvchilari uchun o‘qib bo‘lmaydigan holatda saqlaydi va odamlar birinchi navbatda aynan shu qismni loyihalab, keyin u haqida o‘ylashni to‘xtatadilar. Shifrlash qilmaydigan narsa — past ishonchli tomon qaysi resurslarga yeta olishini belgilash. Loyihaga ikki chegara kerak: biri tashilayotgan suhbat atrofida, ikkinchisi tashuvchining o‘ziga kirish atrofida.

Quyidagi qadamlarni tartib bilan bajaring va har qanday qadamdagi nosozlikni konfiguratsiyani tuzatish emas, loyihani o‘zgartirish deb biling.

Konfiguratsiyaga tegishdan oldin ikkala chegarani belgilang

Birinchi chegara — suhbat: qaysi shlyuz juftlari tunnel o‘rnata oladi va u orqali qaysi ichki trafik o‘tishiga ruxsat beriladi. Ikkinchisi — tashuvchi: past ishonchli xostlar tunneldan tashqarida qaysi manzil va xizmatlarga yeta oladi. Jamoalar odatda birinchisini quradi, ikkinchisini esa allaqachon mavjud bo‘lgan har qanday marshrutlashdan meros oladi, shu tarzda cheklangan loyiha jimgina keng loyihaga aylanadi. Shu meros — tekshiruv past ishonchli xost hech kim tasdiqlamagan narsa bilan gaplashayotganini aniqlaganda odatiy asosiy sababdir.

Ikkalasini manzillar, portlar va yo‘nalishlar ro‘yxati sifatida yozing. Agar ro‘yxatni yozib bo‘lmasa, chegara hali belgilanmagan.

1-qadam: tashqi tunnelni cheklang

Tashuvchiga qaragan interfeysda faqat tunnelga kerakli narsaga ruxsat bering: ikki shlyuz manzili o‘rtasida UDP 500 va 4500 da IKE, hamda NAT o‘tishidan foydalanilmaydigan joyda ESP. O‘sha interfeysga keladigan qolgan hamma narsani, jumladan boshqaruv protokollarini rad eting. ESP spetsifikatsiyasi himoya xizmatlarini qamrab oladi; u shlyuzlar tashuvchining qaysi o‘z xizmatlaridan foydalana olishi haqida hech narsa demaydi. Buni aniq ruxsatlar ro‘yxati sifatida ifodalang, shunda yaqinda e’lon qilingan tashuvchi xizmati sukut bo‘yicha yetib boriladigan bo‘lib qolmasin.

Aynan shu qoidalar to‘plami loyihani peering kelishuvi emas, tranzit loyihasi qiladi.

Buni shlyuz konsolidan emas, past ishonchli tomondan tekshiring. U yerdagi xost tunnel ko‘tarilishidan oldin ham tashuvchining DNS serveriga yeta olmasligi kerak.

2-qadam: uzoq shlyuz nima yetkazib berishini hal qiling

Uzoq uchida tiklangan trafik muayyan joyga borishi kerak. Qaysi ichki xizmatlarga ruxsat berilgani, qaysi manba diapazonlaridan va javoblar simmetrik bo‘lishi kutilayotganini belgilang. Boshqaruv kirishini alohida ko‘rib chiqing, chunki o‘sha shlyuz ko‘pincha tranzit rejasining qismi bo‘lmagan ma’muriy interfeysni ochib beradi.

Muvaffaqiyatli shifr ochishda to‘xtaydigan diagramma eng muhim qarorni o‘tkazib yuborgan.

3-qadam: har bir qatlam bo‘yicha egalikni saqlang

Tranzit uskunasi hanuz tashqi paketlarni qabul qilib uzatadi, shuning uchun unga yamoqlar va sig‘im rejalashtirish kerak. Tunnel oxirgi nuqtalari himoyalangan protokolni qayta ishlaydi va ichki trafikni o‘z uzatish yo‘liga ochadi, shuning uchun ularga o‘z qoidalari va o‘z monitoringi kerak. Yakuniy ilovalar yukni qayta ishlaydi, va shaffof bo‘lmagan yuk shifri ochilgan yuklab olish zararsiz ekaniga dalil emas.

Har bir qatlamga egasini tayinlang. Egasi yo‘q qatlamlar — aynan o‘shalar chetga chiqadi.

4-qadam: tekshiring, so‘ngra uni organga topshiring

Tashqi yo‘lni tunnel ko‘tarilgan va tashuvchi qoidalari amalda bo‘lganda tekshiring. So‘ngra past ishonchli tomon yetib bormasligi kerak bo‘lgan har bir resursni sinab ko‘ring va nosozlik rad etish ekanini, marshrutni yashiruvchi vaqt tugashi emasligini tasdiqlang. Mavjudlik va resurs chegaralarini ham tekshiring, chunki shifrlangan aloqa ham to‘yinishi mumkin.

Tartibga solinadigan yoki maxfiy muhitlar uchun loyihani mas’ul xavfsizlik organiga olib boring va uning tasdiqlangan ajratish arxitekturasidan foydalaning. VPN konfiguratsiyasi va kontseptual tushuntirish akkreditatsiyani yaratmaydi. Bu qadam qog‘oz ishi emas; u loyiha umuman mavjud bo‘lishi mumkinligini hal qiladi.