VPN mijoz trafigi va tarmoq ekrani holati: tashqi va ichki oqim

VPN qo’l siqish jarayoni tugaydi, mijoz manzil oladi, lekin shlyuz orqasidagi xizmat ulanishni baribir rad etadi. Tarmoq ekrani ko’pincha aytilganini aniq bajaradi. U tunnelning tashqi oqimiga ruxsat bergan, bu esa kapsuladan chiqarilgan dastur ulanishidan boshqa paket. Bundan ikkita qaror kelib chiqadi: qaysi oqimga ruxsat berasiz va chegara holatni umuman kuzatadimi.

Bu ikkalasini ajratmaguningizcha, har bir qoida o’zgarishi taxmindir.

Tarmoq ekrani ikki xil paketni ko’radi

Kapsuladan chiqarishdan oldin tarmoq ekrani VPN oxirgi nuqtasiga yo’naltirilgan trafikni ko’radi: tinglovchiga qarab tashqi UDP oqimi. Kapsuladan chiqargandan keyin uzatilgan paket mijozning ichki manzilini va xizmat manzilini olib yuradi.

Tashqi oqim uchun ruxsat uzatilgan TCP ulanishiga vakolat bermaydi. Ularni turli zanjirlarda, turli interfeyslar qarshisida va tarjimadan keyin turli manzillar bilan baholash mumkin.

Ikki tomonning teng joylaridan olingan yozib olishlarni solishtiring. Tunnel chekkasidagi yozib olish va serverdagi yozib olish bir sessiya uchun turli kortejlarni ko’rsatadi.

Birinchi qaror: tunnel yoki xizmatga ruxsat

Agar mijozga faqat VPN oxirgi nuqtasining o’zi kerak bo’lsa, tashqi ruxsat yetarli bo’lishi mumkin. Agar unga shlyuzdan narigi xizmat kerak bo’lsa, o’sha manzil va port uchun uzatish ruxsati kerak. Xizmatga ham ruxsat beruvchi tunnel qoidasi nomlashingiz kerak bo’lgan dizayn tanlovidir, tasodif emas.

Mijoz diapazoni va xizmat qamrovini tor saqlang. Tunnel quyi tarmog’idan butun lokal tarmoqqa ruxsat har bir xostga ishonish qaroridir, bitta dastur uchun qisqa yo’l emas.

Ikkala qoidani alohida yozing. Tunnel qoidasi va xizmat qoidasi turli usullarda ishlamay qoladi va turli dalillar bilan tuzatiladi. Biri ishlamay qolsa, qaysi qatlamni birinchi tekshirishni bilasiz.

Ikkinchi qaror: har bir chegarada holat bilan yoki holatsiz

O’rnatilgan oqim qoidasi ruxsat etilgan almashinuv uchun javoblarni o’tkazishi mumkin, lekin uning xatti-harakati mahsulotga bog’liq. Bulut xavfsizlik guruhi odatda holatni kuzatadi; quyi tarmoq kirish nazorati ro’yxati ko’pincha kuzatmaydi va ikkala yo’nalishda ham aniq ishlov berishni talab qiladi. Yo’ldagi har bir chegara holatga bir xil munosabatda bo’ladi deb o’ylamang. Qoidalarni loyihalashdan oldin har bir chegarani sanab chiqing va holat bilan yoki holatsiz deb belgilang.

Agar qoida o’zgarsa, mavjud kuzatilayotgan oqimlar ishlashda davom etishi, yangilari esa ishlamay qolishi mumkin, yoki aksincha. Bu farq foydali ishora, tirik shlyuzda barcha ulanish holatini tozalash uchun sabab emas.

Yangi nazorat qilinadigan so’rov bilan sinab ko’ring va tegishli hisoblagichlarni tekshiring. Toza sinov buzg’unchi qayta o’rnatishdan yaxshiroq. Hisoblagich nomini o’zgartirish yozuviga yozing, keyingi sinov o’sha dalilni ishlatsin.

Qaytish yo’lini xuddi shu siyosat ostida tekshiring

Mijozdan xizmatga yangi so’rov yuboring, so’ng har bir chegarada to’g’ri va qaytish hisoblagichlarini tekshiring. Javob kutilgan yo’ldan foydalanayotganini tasdiqlang, ayniqsa tarjima ishtirok etsa.

Ko’zda tutilgan mijoz diapazoni va xizmat qamrovini tor saqlang va qaytish yo’lini so’rovga ruxsat bergan xuddi shu qoidalar to’plami ostida tekshiring. Faqat eski oqim hali ochiq bo’lgani uchun ishlaydigan qoida ishlaydigan qoida emas.