Saytdan saytga VPN: qaysi yo'nalish haqiqatan qoida talab qiladi?

Ikkala tomon ham o'rnatilgan tunnel haqida xabar beradi, uzoq filial shlyuzdan javob beradi, lekin ilova bir tomondagi foydalanuvchilar uchun baribir vaqt tugaydi. Odatiy maslahat ikkala yo'nalishda ham xavfsizlik devori qoidasini qo'shishdir. Ba'zan bu to'g'ri, ba'zan mavjud qoidani takrorlaydi, ba'zan esa ikkinchi qoida holatni buzadi. Qaysi holat ekanligi xavfsizlik devori paketni qayerda ko'rishiga bog'liq.

Holatli qaytish trafigi sonni o'zgartiradi

Holatli xavfsizlik devori so'rovni qayd etadi va javobni ikkinchi qoidasiz o'tkazadi, shuning uchun bitta qoida talab qiladigan dizayn normaldir. Holatsiz kirish ro'yxatida bunday xotira yo'q va javobga aniq ruxsat berilishi kerak. Ikkalasi ham o'z platformasida to'g'ri, shuning uchun maslahatlar bir-biriga zid.

Oldingizdagi platformaning uzatish hujjatlarini o'qing va siz tahrirlayotgan siyosat paketni ko'radigan joyda holatli yoki yo'qligini tekshiring. O'rnatilgan trafik uchun aniq taqiq yoki holat jadvalidan oldin javobni baholaydigan qoidalar tartibi ishlaydigan dizaynni jumboqqa aylantiradi. Qoidalar soni amalga oshirish tafsiloti, talab esa ruxsat etilgan suhbatning ikkala yo'nalishi ham tugashi mumkinligidir.

Xavfsizlik devori shifri ochilgan paketlarni qayerda ko'radi

Siyosatga asoslangan tunnelda xavfsizlik devori shifrlangan paketni shifr ochishdan oldin va shifri ochilgan paketni keyin turli interfeyslarda baholashi mumkin. Noto'g'ri interfeys uchun yozilgan qoida mavjud, to'g'ri va hech qachon mos kelmaydi. Shunday qilib ishlaydigan joylashtirishdan ko'chirilgan qoidalar to'plami bir xil apparatda muvaffaqiyatsiz bo'lishi mumkin.

Marshrutga asoslangan IPsec va ko'pchilik zamonaviy amalga oshirishlar tunnel interfeysini taqdim etadi, shuning uchun shifri ochilgan paket u yerga keladi va oddiy interfeys qoidalari amal qiladi. Qoidalar to'plamini boshqasi uchun yozilgan qo'llanmadan ko'chirishdan oldin joylashtirish qaysi modeldan foydalanishini tasdiqlang. Tunnel interfeysi paket umuman shifr ochilganmi yoki yo'qmi bilish kerak bo'lganda qarash joyi hamdir.

Asimmetrik marshrutlash taxminni buzadi

Holatli xavfsizlik devori suhbatning ikkala yarmini ko'radi deb taxmin qiladi. Agar javob boshqa shlyuz orqali qaytsa, u qurilma so'rov uchun holat saqlamaydi va o'z siyosatiga ko'ra uni tashlaydi. Alomat bir tomonlama muvaffaqiyatsizlik bo'lib, uni yuboruvchi tomondagi hech qaysi qoida tuzata olmaydi. Javob yo'lini kuzatib boring biror narsani tahrirlashdan oldin.

Ikkala tomonda keng ruxsat qoidasini qo'shishdan oldin javob marshrutini tekshiring. Har bir interfeysda hamma narsaga toqat qilish marshrutlash xatosini yashiradi va ayni paytda kirishni kengaytiradi, bu mavjud eng yomon kombinatsiya.

Ikkala yo'nalishni haqiqiy manba manzillari bilan tekshiring

Uzoq tomon haqiqatan ko'radigan manzil bilan sinab ko'ring, chunki tarjima manba qoidasini hech narsaga mos kelmaydigan qilishi mumkin. Qabul qilishni ikkala shlyuzda bir vaqtda ishga tushiring.

tcpdump -ni any 'host 10.30.8.15 and tcp port 443'
nft list ruleset | grep -A 8 'chain forward'
ip route get 10.30.8.15
conntrack -L | grep 10.30.8.15

Uzoq shlyuzda kutilmagan manba manzili bilan paydo bo'lgan so'rov hech qachon mos kelmaydigan qoidani tushuntiradi, noto'g'ri interfeysga kelgan javob esa holat nomuvofiqligini tushuntiradi. Keyin tasdiqlangan qamrov ichidagi bitta manzilni va undan tashqaridagi bittasini sinab ko'ring, chegara taxmin qilinmay, ko'rsatilishi uchun.

Tarjimadan keyingi manba manzilini, shifri ochilgan paket ishlatgan interfeysni va mos kelgan qoidani yozib oling. Bu uch fakt butun tekshiruvni takrorlamasdan keyingi chiptaga javob beradi.