Statiese tonneladresse in pfSense: voorkeur of bespreking?

Twee ontwerpe lyk op papier eenders en gedra hulle heeltemal anders wanneer ’n reël van hulle afhang. Die een tik ’n adres in ’n kliëntoorheersing in en vertrou die adres as identiteit. Die ander sluit dinamiese toelating heeltemal, sodat ’n eindpunt óf ’n unieke toewysing het óf glad nie verbind nie. Net die tweede maak van ’n adres ’n beleidsinset wat jy kan verdedig, en die verskil is werd om te verstaan voordat jy ’n enkele vuurmuurreël skryf.

Wat ’n oorheersingsadres werklik belowe

’n Kliëntspesifieke oorheersing dra opsies per kliënt, insluitend ’n voorkeurende tonneladres. Netgate beskryf daardie adres as ’n voorkeur en nie ’n bespreking nie, wat beteken die dinamiese poel gee nie die adres vir iemand anders prys nie.

Dit is gewoonlik reg. ’n Botsing is skaars, en die kliënt kry gewoonlik wat hy gevra het, wat genoeg is vir gerief en nie genoeg vir magtiging nie. Gerief en magtiging is verskillende vereistes, en net een van hulle oorleef ’n botsing.

Met subnet-topologie neem die veld die kliëntadres saam met die bedienernetwerk se masker, sodat ’n adres binne ’n 10.90.0.0/24-tonnel as 10.90.0.10/24 geskryf word.

Niks daarvan bespreek die nommer nie. ’n Kliënt wie se oorheersing nie pas nie, of ’n dubbele sessie, kan elders in die poel beland, en ’n reël wat op die adres gegrond is, beskryf dan iemand wat nie daar is nie.

Sluit die dinamiese pad met ’n beperkte standaard

Die alternatief is ’n suiwer statiese bediener: elke toegelate eindpunt het sy eie identiteit en sy eie unieke adres, en niks anders kom in nie.

Om dit te implementeer beteken ’n DEFAULT-oorheersing wat tot daardie een bediener beperk is, met verbindingsblokkering geaktiveer. ’n Kliënt sonder ’n passende oorheersing kan dan nie na gewone dinamiese toelating terugval nie. Daardie enkele reël is wat ’n voorkeur in ’n geslote versameling omskep.

Omvang maak saak. ’n Standaardoorheersing wat op elke VPN-instansie op die toestel toegepas word, sal onverwante tonnels uitsluit, en daardie fout lyk soos ’n stukkende diens eerder as ’n beleidsbesluit. Bind dit aan die een bediener wie se toelatingsmodel jy verander. Teken dan die omvang in die veranderingsrekord aan, want die volgende persoon sal nie onthou aan watter tonnel dit behoort nie.

Oudit daarna die hele toegelate versameling. Die standaardblokkering herstel nie ’n benoemde oorheersing wat sonder ’n adres gelaat is nie, en daardie eindpunt sal bloot misluk om te verbind sonder ’n duidelike wenk oor hoekom.

Pas by die identiteit wat die bediener werklik gebruik

’n Oorheersing pas by iets. Op ’n bediener wat sertifikate se algemene name pas, moet die oorheersingsnaam daardie algemene naam wees, nie die persoon se vertoonnaam nie. Kopieer dit uit die sertifikaat eerder as uit die rekeninglys.

’n Bediener wat ingestel is om die gebruikersnaam as algemene naam te gebruik, pas op ’n heeltemal ander sleutel, en ’n oorheersing wat na die sertifikaat vernoem is, sal nooit afgaan nie. Lees die instelling eerder as om dit af te lei uit wat die rekeninglys wys.

Behou die bykomende verifikasiefaktore wat die ontplooiing vereis. ’n Geslote adresmodel verander wie mag verbind en watter adres hulle ontvang; dit vervang nie die sertifikaatkontrole of die tweede faktor nie.

Skryf die toegangsreëls nadat die kaart klop

Sodra die kaart van identiteit na adres gesluit is, kan reëls adresse verwys sonder om voor te gee dat hulle mense is. ’n Alias wat een persoon se eindpunte groepeer, kan ’n spesifieke diens bereik terwyl ’n ander alias iets anders bereik. Die alias word die nasienbare voorwerp, en die adres word ’n implementeringsbesonderheid daarbinne.

Hou bestemmings en poorte eksplisiet. Om die hele plaaslike netwerk vanaf die hele tonnelpoel toe te laat, is juis die ontwerp wat hierdie oefening moes vervang.

Lees swewende, groep- en koppelvlakreëls in hulle werklike evalueringsorde, want ’n vroeëre breë deurgang verydel ’n latere smal een. Om interne aansturing van kliënt na kliënt af te skakel, hou eweknieverkeer by die grens waar daardie reëls nagesien word. ’n Reël wat net op papier bestaan, is nie handhawing nie.

Toets die negatiewe gevalle

Probeer vier nuwe verbindings: ’n benoemde eindpunt, een sonder enige oorheersing, ’n diens wat bereikbaar behoort te wees en een wat nie behoort nie. Die eindpunt wat nie gelys is nie, is die belangrike geval, want dit is die een wat die ontwerp bestaan om te stop. As dit verbind, doen die standaardblokkering nie sy werk nie.

Kontroleer IPv6 afsonderlik, want ’n IPv4-adresbeleid sê niks oor ’n tweede stapel nie. Bevestig dan dat die toepassing steeds die gebruiker magtig, want ’n tonneladres is ’n netwerkfeit en nie bewyse van wie by die sleutelbord sit nie. Albei kontroles hoort in die aanvaardingsnota.

Beplan laastens die migrasie. Nuwe oorheersings en smal reëls verander nie reeds gevestigde sessies terugwerkend nie, so bestaande toestande moet verstryk of doelbewus skoongemaak word.