Ẹnu-ọ̀nà VPN àpapọ̀ tàbí ọ̀tọ̀ọ̀tọ̀: yan nípasẹ̀ agbègbè ìkùnà

Àwọn ẹ̀rọ méjì dàbí alágbára ju ọ̀kan lọ títí tí ìwọ yóò fi kíyèsí pé wọ́n pín ìlà iná kan náà, hypervisor kan náà àti ìsopọ̀ òkè kan náà. Kíkà àwọn àpótí ń dáhùn ìbéèrè tí ẹnikẹ́ni kò béèrè; ìbéèrè tí ó wúlò ni ohun tí ó kùnà ní àkókò kan náà. Kọ àdéhùn ìkùnà sílẹ̀ kí ó tó yan topology. Runbook tí ó wà nísàlẹ̀ ń ṣe àkọsílẹ̀ yẹn.

Ohun tí ó dúró nígbà ìtúnbẹ̀rẹ̀ kan

Fún ẹnu-ọ̀nà àpapọ̀, ṣe àkójọ ohun tí ó sọnù nígbà ìtúnbẹ̀rẹ̀, ìmúdójúìwọ̀n tí ó kùnà tàbí àìdára ohun èlò. Bí ààyè sí íńtánẹ́ẹ̀tì àti ìsopọ̀ àdáni bá dúró papọ̀, ìdádúró pínpín yẹn ti di apá kan ìbéèrè ìwàláàyè rẹ, yálà ẹnìkan kọ ọ́ tàbí bẹ́ẹ̀ kọ́. Ìdánrawò kan náà kan ẹ̀rọ kan tí ó parí àwọn ipa púpọ̀: àkójọ àwọn iṣẹ́ tí ó fi sílẹ̀ ni àpèjúwe gidi.

Fún ẹnu-ọ̀nà ọ̀tọ̀ọ̀tọ̀, ṣe àkójọ ohun tí ó ṣì pín: iná, agbàlejò virtualisation, ìsopọ̀ òkè, olùpèsè ìdánimọ̀, nẹ́tíwọ́kì ìṣàkóso. Àwọn ẹ̀rọ méjì lẹ́yìn switch kan tí ó kùnà agbègbè ìkùnà kan pẹ̀lú orúkọ agbàlejò méjì. Ìpínyà tí kò ka àwọn ìgbẹ́kẹ̀lé yẹn sí ni àwòrán, kì í ṣe àpèjúwe.

Ka ìní ìtọ́jú pẹ̀lú. Ẹ̀rọ mìíràn ń mú ìṣètò, àbójútó, àwọn ẹ̀dà ìpamọ́ àti ìlànà ìmúpadà kejì wá, kò sì sí ọ̀kan nínú wọn tí ó jẹ́ ọ̀fẹ́.

Samì ibi tí a ti ń fi ìlànà kọ̀ọ̀kan ṣiṣẹ́

Tẹ̀lé pakẹ́tì kan láti ọ̀dọ̀ oníbàárà sí orísun àdáni àti padà, kí o sì samì gbogbo ibi tí a ti ń lo ìlànà. Router kejì ń fi kókó mìíràn kún ibi tí àṣàyàn ọ̀nà, ìtumọ̀ tàbí ipò ìsopọ̀ lè má faramọ́ èkíní. Ọ̀pọ̀ àwọn ìkùnà àràmàǹdà nínú àpèjúwe ẹnu-ọ̀nà méjì ń gbé lórí ìsopọ̀ yẹn.

ip route get 10.20.30.40
traceroute -n 10.20.30.40
conntrack -L -p tcp --dport 443

Kọ ibi tí ààbò VPN parí àti ibi tí ìlànà inú bẹ̀rẹ̀. Bí ọ̀nà láàrín ẹ̀rọ méjì bá jẹ́ aláyọ̀, àpótí kejì kò ṣẹ̀dá ààlà; ó kàn gbé ibi tí ààlà lè wà. Lórí pẹpẹ kan, àwọn agbègbè ìlànà ọ̀tọ̀ọ̀tọ̀ lè ṣì wúlò, a sì gbọdọ̀ ṣàyẹ̀wò ìwúlò wọn láti inú àwọn òfin dípò kíkọ̀ wọ́n nítorí pé ohun èlò jẹ́ pínpín.

Dúró bí o kò bá lè sọ ẹ̀rọ tí ń fi òfin pàtàkì ṣiṣẹ́. Àlàfo yẹn ni àwárí, kì í ṣe àlàyé tí a ó yanjú lẹ́yìn.

Ìdádúró jẹ́ ààlà, kì í ṣe ẹ̀yà ara

Ẹ̀rọ ọ̀tọ̀ọ̀tọ̀ ń dá àdéhùn dúró nígbà tí ọ̀nà tí ó gba inú rẹ̀ bá ní ààlà sí ohun tí ẹ̀gbẹ́ kejì nílò. Bí ẹ̀rọ méjì bá gba irú ìrìnàjò èyíkéyìí láti ọ̀dọ̀ ara wọn, olùgbógun tí ó bà lórí ọ̀kan ní ààyè kan náà bí ti tẹ́lẹ̀. Ìdánilójú ìdádúró jẹ́ ti àkójọ òfin, kì í ṣe ti àkọsílẹ̀ ẹrù. Ka àwọn òfin, sọ irú ìṣàn tí a gbà láàyè, kí o sì pinnu bí ìpínyà náà ti ra nǹkan kan.

Ìrònú kan náà kan àwọn olùlò. Olùlò VPN tí a gbẹ́kẹ̀lé nítorí nẹ́tíwọ́kì tí ó ti wá ń gbẹ́kẹ̀lé ibi dípò ìdánimọ̀, ìtọ́sọ́nà ìgbẹ́kẹ̀lé òdo NIST sì ṣàpèjúwe ààyò mìíràn: jẹ́rìí àti fún ní àṣẹ fún gbogbo ìbéèrè lòdì sí orísun. Ìlànà yẹn dúró bóyá ẹ̀yà ara wo ni ó parí ọ̀nà abẹ́lẹ̀.

Bí ìpínyà bá wà láti tẹ́ ìlà ìbámu dípò láti yí ìṣàn padà, sọ bẹ́ẹ̀ nínú àkọsílẹ̀. Ìṣàkóso tí ẹnikẹ́ni kò lè ṣàlàyé ni a máa ń yọ kúrò ní àkọ́kọ́ lábẹ́ ìfipá.

Mú padà ohun tí o lè dé ní ti gidi

Bèèrè ọ̀nà ìmúpadà wo ni ó yè nígbà tí ipa kan nínú méjì bá kú. Nígbà tí ọ̀nà kan ṣoṣo sí ẹnu-ọ̀nà VPN tí ó bàjẹ́ gba inú ẹnu-ọ̀nà yẹn, ẹ̀rọ àfiwékan ní ibi mìíràn kò ran alákóso tí ó nílò láti tún un ṣe lọ́wọ́. Ọ̀nà tí kò gba inú bẹ́ńdì, console àti ìpadàsẹ́yìn tí a kọ sílẹ̀ ni àwọn apá tí ó jẹ́ kí àpèjúwe náà lè múpadà.

systemctl status strongswan
nft list ruleset
ip -brief address

Wọn àpèjúwe náà fún gbogbo ẹrù iṣẹ́ tí a ṣe àtìlẹ́yìn fún dípò nọ́mbà ìpamọ́ kan tí ó yà sọ́tọ̀, nítorí ìṣẹ́ àti àyẹ̀wò ń lo ohun èlò kan náà. Lo ìwé olùpèsè àti ìwọ̀n rẹ fúnra rẹ dípò ríronú pé ìpínyà yára tàbí lọ́ra. Lẹ́yìn náà kọ àkọsílẹ̀ ìpinnu: irú ìṣàn tí a gbà láàyè, ìgbẹ́kẹ̀lé tí ó pín, ohun tí fèrèsé ìtọ́jú ń fi sílẹ̀, ẹ̀rí agbára tí o ní àti ẹni tí ó ni ìgbésẹ̀ ìmúpadà kọ̀ọ̀kan. Àkọsílẹ̀ yẹn kúrú tó láti ṣàyẹ̀wò, ó sì ṣe pàtó tó láti padà sí.

Runbook parí nígbà tí a kọ àdéhùn ìkùnà, ọ̀nà ìfiwẹ́rẹ́ ní kókó ìmúṣẹ́ olórúkọ kan fún òfin kọ̀ọ̀kan, a ṣàpèjúwe ìdádúró pẹ̀lú ìṣàn dípò iye ẹ̀rọ, àti ìmúpadà ń ṣiṣẹ́ láti ìta ẹ̀yà ara tí ó kùnà. Yan ètò tí ó rọrùn jù tí ó bá àwọn ìbéèrè yẹn mu.