IPsec ishlamay qolganda, zaxira marshrut zaxira siyosat emas

Bitta sayt tunnelini yo’qotadi, marshrutlash jadvali esa hali ham internet orqali manzilgacha to’liq foydalanish mumkin bo’lgan yo’lni ko’rsatib turadi. Kimdir o’sha yo’lga o’tishni taklif qiladi va bu o’zgarishni marshrutlash tuzatishi deb ataydi. Paket o’sha yo’ldan yura olardi; hech kim bermagan savol — unga himoyasiz yetib kelishga ruxsat bormi. Bular turli jadvallardan chiqqan turli javoblar, ularni aralashtirish esa nosozlikning hodisaga aylanish yo’lidir.

Marshrutlash jadvalida bir xil ko’rinadigan ikki natija

Yetib borish imkoniyati paketning boradigan joyi borligini aytadi. Xavfsizlik siyosati o’sha paketga yo’lda nima bo’lishi kerakligini aytadi, va ikkalasi turli mexanizmlar bilan bajariladi. Siyosat tashlab yuborishga majbur bo’lgan oqim uchun ham marshrut bo’lishi mumkin, va bu birikma noto’g’ri konfiguratsiya emas. Ikki savolni ajratish nosozlik rejasini umuman ko’rib chiqish mumkin bo’ladigan qiladi.

Shuning uchun nosozlik yo’li faqat kimdir ruxsat etilgan natijalardan qaysi biri amal qilishini hal qilgandan keyin loyihaga aylanadi. Bu qaror bo’lmaguncha, zaxira marshrut reja emas, vasvasa.

Siyosat modelida ikkita emas, uchta hukm bor

IPsec arxitekturasi tashlab yuborilishi kerak bo’lgan trafikni, himoyani chetlab o’tishga ruxsat berilgan trafikni va himoyalanishi kerak bo’lgan trafikni ajratadi. Bular uchta alohida ko’rsatma, o’rtadagisi esa nosozlik rejimi emas, ataylab berilgan imtiyoz. Ularni juftlik sifatida o’qish tunnel va ochiq yo’l o’rtasidagi yolg’on tanlovni keltirib chiqaradi.

Yo’q assotsiatsiya himoya qoidasini indamay chetlab o’tishga ko’tarmaydi. Siyosat hali ham himoya qil deydi, shuning uchun paket kutadi yoki o’ladi, va bu xatti-harakat yozilganidek ishlayotgan nazorat, siyosat buzilganining dalili emas.

O’z oqimingiz uchun talabni uchta gapdan biri sifatida yozing: himoyalangan yo’l paydo bo’lguncha to’xtang, boshqa himoyalangan yo’lga o’ting yoki IPsecsiz ishlashga alohida ruxsat berilgan yo’ldan foydalaning. Faqat uchinchisi xavfsizlik shartnomasini o’zgartiradi va unga imzo cheka oladigan egasi kerak. O’sha gap o’zgarishlar yozuviga tushadi, birovning xotirasiga emas. Taqrizchilar ikkinchi gapni ma’qullaydi va uchinchisini rad etadi, va ikkala qaror ham ko’rinib turganda o’rinli.

Chetlab o’tish — ikki uchi imzo chekadigan shartnoma

Muqobil yo’lga marshrutlanadigan manzillar, yetib boradigan joyda aniq ruxsat va ikki yo’nalishda ishlaydigan javob yo’li kerak. Saytning shaxsiy manzillari standart marshrut biroqqa ishora qilgani uchun yetib boriladigan bo’lib qolmaydi.

Autentifikatsiya manzillash kabi muhim. Tunnelni chetlab o’tib, himoya kutayotgan chegaraga yetib kelgan trafik to’g’ri interfeysga tushsa ham rad etiladi, shuning uchun qabul qiluvchi siyosat o’sha shaklni ataylab qabul qilishi kerak. Uzoq tomon hech qachon rozi bo’lmagan imtiyoz qo’shimcha qadamlar bilan nosozlikdir.

Zaxira ishlashi uchun selektorni olib tashlash yoki xaritani bo’shatish nazorat qilinadigan imtiyoz emas. U imtiyoz doirasini kengaytiradi, uzoq tomonni boshqa narsani bajarishda qoldiradi va oqimga qaysi tarjima qoidasi mos kelishini o’zgartirishi mumkin.

Tarjima va qabul qilish hisobni o’zgartiradi

Tarjima manzillarning boshqa ko’rinishini taqdim etishi mumkin, ammo oldinga va orqaga xaritalash muqobil yo’lga mos kelishi kerak. Bir tomonlama xaritalash ochilib, keyin osilib qoladigan ulanish hosil qiladi. Yarim xaritalash hech narsadan yomonroq, chunki u taraqqiyotga o’xshaydi.

Qabul qilish — ikkinchi yarmi. Qabul qiluvchi tomonda bu trafik uchun aniq qoida, o’z jurnali va tungi soat uchda ma’qullangan imtiyozni xatodan ajratish usuli bo’lishi kerak.

Tiklash loyihaga kiradi

Nosozlik qanday aniqlanishini, qaysi siyosat o’rinbosarni tanlashini va u sodir bo’lganda ishlab turgan sessiyalarga nima bo’lishini yozib qo’ying. Yangi ulanish o’tishdan keyin muvaffaqiyatli bo’lishi mumkin, eskirog’i esa endi amal qilmaydigan manzilga bog’langan holatni saqlaydi.

Talab uzluksiz himoya bo’lganda har doim boshqa himoyalangan yo’lni afzal ko’ring. Himoyasiz istisno haqiqatan zarur bo’lsa, uni manbalar, manzillar, xizmatlar va muddat bilan cheklang va qanday qaytarib olinishini yozing.

Faqat nosozlikni emas, ikkala holatni sinab ko’ring

Qabul qilish muvaffaqiyatsiz tunnel holatini ham, tiklangan holatni ham qamraydi, har birida ilova tekshiruvi bilan. Qiziqarli natija paketlarning harakatda qolgani emas, balki ular faqat tashkilot tanlagan shartnoma ostida harakat qilgani.

Qaytarib olish sinovini ham qo’shing. Hech kim o’chira olmaydigan imtiyoz indamay doimiy siyosatga aylangan, va asl qoida aynan shundan himoya qilardi. Unga muddat va nomlangan taqrizchi qo’ying, aks holda imtiyoz uni tushungan barchadan uzoq yashaydi.