Twee kliëntgroepe, een bediener: waar om die beleid af te dwing

Om twee kliëntgroepe op verskillende subnette te plaas, lyk soos isolasie, en dit is nie. Adresse beskryf waar ’n pakkie skynbaar vandaan kom, terwyl toestemming ’n besluit is wat geneem word deur wat dit ook al aanstuur. Daardie vraag word deur konfigurasie beantwoord eerder as deur die masker, so besluit watter komponent portuurverkeer aanstuur voordat jy enige reël skryf.

’n Subnet is ’n etiket, nie ’n reël nie

Om een poel per groep toe te wys, gee jou leesbare adresse en niks anders nie. ’n Kliënt wat ’n ekstra roete aanvaar, het bereikbaarheid bygekry, en bereikbaarheid is nie magtiging nie. Die toestemming om te praat sit in die aanstuur-besluit, wat in die daemon of in die kernel kan woon, afhangende van hoe die bediener gekonfigureer is.

Adres-eienaarskap is wat ’n voorvoegsel bruikbaar maak as ’n groepkeuse. Elke geauthentiseerde identiteit moet na ’n voorspelbare adres of reeks karteer, en daardie kartering faal sodra verskeie toestelle een geloofsbrief en een toewysing deel. Los identiteit en gelyktydigheid op voordat jy op ’n bronvoorvoegsel staatmaak, want ’n beleid wat raai watter masjien oproep, magtig die verkeerde een op die slegste oomblik.

Kies die pad wat portuurverkeer dra

Wanneer die daemon portuurpakkies binne sy eie proses aanstuur, bereik daardie pakkies nooit die gasheer se aanstuurhaak nie, so ’n kernelreël kan hulle nie sien nie. Deaktiveer daardie interne aanstuur en die kernel word die aanstuurpunt, waar gewone aanstuur-reëls geld.

# peer forwarding inside the daemon: enforce with per-group policy instead of FORWARD rules
client-to-client
# kernel forwarding path: remove the line above, then filter in the forward chain

Afgelaai datakanale en produkbestuurde bedieners publiseer hul eie afdwingmodelle, so bevestig watter een jy gebruik eerder as om die gemeenskapsgedrag te aanvaar. Die fout wat die moeite werd is om te vermy, is ’n reël wat in ’n hersiening korrek lyk en nooit tydens looptyd geraadpleeg word nie.

Skryf die matriks voordat jy reëls skryf

’n Kort matriks is makliker om te hersien as ’n reëlstel, en dit is die kontrak wat die implementering moet nakom: portuurs in dieselfde groep toegelaat, portuurs oor groepe heen geweier, beide groepe toegelaat tot een genoemde gedeelde diens, alles anders geweier. Skryf daardie vier reëls neer voordat jy ’n brandmuur-redigeerder oopmaak. ’n Hersiener wat nie reëlstel-sintaksis lees nie, kan steeds die matriks nagaan. Die implementering hoef dan net by die reëls te pas.

Hou die drie bestemmingsklasse uitmekaar terwyl jy dit skryf. ’n Diens op die VPN-gasheer is plaaslike inset, ’n ander kliënt is portuurdery, en ’n masjien agter die poort is ’n ander aanstuurpad. Een ruim reël kan al drie per ongeluk toestaan, en dit is hoe ’n groepbeleid in ’n plat netwerk met ekstra stappe verander. Skryf die klas langs elke ry sodat die bedoeling die volgende wysiging oorleef.

Plaas die reëls waar hulle oorleef

Voeg die besluite by op dieselfde plek waar die res van die brandmuur onderhou word, voor enige toelatende reël wat hulle andersins sou insluk. Reëlorde is deel van die beleid, en ’n korrekte reël wat ná ’n breë aanvaarding geplaas word, dwing glad niks af nie. Let op die reëlnommers voor en ná die verandering. ’n Beleid wat in ’n redigeerder bestaan maar nie in die lopende reëlstel nie, is ’n plan, nie ’n beheer nie.

Besluit wat gebeur met strome wat reeds bestaan wanneer die beleid verander, want ’n sessie wat voor die verandering oopgemaak is, kan daarna aanhou loop. As ’n vertrekkende lid onmiddellik toegang moet verloor, het die reëlstel ’n manier nodig om daardie toestand te beëindig eerder as om te wag dat die verbinding self sluit.

Bewaar die reëls deur die meganisme wat die res van die brandmuur besit, en teken die matriks daarby aan. ’n Onopgetekende beleid word tydens die volgende voorval uit geheue herlei, gewoonlik deur iemand wat haastig is.

Bewys dit van beide kante

Toets bereikbaarheid binne dieselfde groep, mislukking oor groepe heen en die gedeelde diens vanaf een kliënt in elke groep. ’n Enkele toets vanaf ’n enkele kliënt bewys die helfte van die matriks, en die helfte wat dit uitlaat, is gewoonlik die verkeerde een. Herhaal die weieringsrigting twee keer, want ’n gekaste sessie kan ’n afdwingfout verberg. Teken aan watter paar jy getoets het sodat die volgende persoon dit nie herhaal nie.

Herhaal die kontrol op IPv6 as die tonnel dit dra, en hou gewone toepassing-verifikasie in plek. ’n Bronvoorvoegsel is nie ’n rekening nie, so om die netwerkbeleid te slaag beteken nie dat ’n diens die oproeper moet vertrou nie.