عناوين النفق الثابتة في pfSense: تفضيل أم حجز؟

يبدو التصميمان متشابهين على الورق ويتصرفان بشكل مختلف تمامًا عندما تعتمد عليهما قاعدة. يكتب أحدهما عنوانًا في تجاوز العميل ويثق بالعنوان كهوية. أما الآخر فيغلق القبول الديناميكي بالكامل، بحيث يحصل كل طرف على تعيين فريد أو لا يتصل إطلاقًا. التصميم الثاني وحده يحوّل العنوان إلى مدخل سياسة يمكن الدفاع عنه، ويستحق الفرق أن يُفهم قبل كتابة قاعدة جدار حماية واحدة.

ما يَعِد به عنوان التجاوز فعليًا

يحمل التجاوز الخاص بالعميل خيارات لكل عميل، منها عنوان نفق مفضل. تصف Netgate ذلك العنوان بأنه تفضيل وليس حجزًا، أي أن التجمع الديناميكي لا يتنازل عن العنوان لأي شخص آخر.

هذا مقبول عادة. التصادم نادر، والعميل يحصل عادة على ما طلبه، وهو ما يكفي للراحة ولا يكفي للتفويض. الراحة والتفويض متطلبان مختلفان، وواحد فقط منهما ينجو من التصادم.

مع طوبولوجيا الشبكة الفرعية، يأخذ الحقل عنوان العميل مع قناع شبكة الخادم، لذا يُكتب عنوان داخل نفق 10.90.0.0/24 على هيئة 10.90.0.10/24.

لا شيء من ذلك يحجز الرقم. فالعميل الذي لا يطابق تجاوزه، أو الجلسة المكررة، قد ينتهي في مكان آخر من التجمع، وعندها تصف قاعدة مبنية على العنوان شخصًا غير موجود هناك.

أغلق المسار الديناميكي بافتراضي محدد النطاق

البديل هو خادم يعمل بالعناوين الثابتة فقط: لكل طرف مسموح هويته الخاصة وعنوانه الفريد الخاص، ولا شيء آخر يدخل.

يتطلب تنفيذه تجاوزًا DEFAULT محدد النطاق لهذا الخادم وحده مع تفعيل حظر الاتصالات. حينها لا يستطيع عميل بلا تجاوز مطابق العودة إلى القبول الديناميكي العادي. هذا السطر الواحد هو ما يحوّل التفضيل إلى مجموعة مغلقة.

النطاق مهم. التجاوز الافتراضي المطبق على كل نسخة VPN في الجهاز سيقفل أنفاقًا غير ذات صلة، ويبدو ذلك العطل كخدمة معطلة لا كقرار سياسة. اربطه بالخادم الوحيد الذي تغيّر نموذج القبول فيه. ثم دوّن النطاق في سجل التغييرات، لأن الشخص التالي لن يتذكر بأي نفق ينتمي.

دقّق المجموعة المسموح بها كاملة بعد ذلك. الحظر الافتراضي لا يصلح تجاوزًا مسمّى تُرك بلا عنوان، وسيفشل ذلك الطرف ببساطة في الاتصال دون تلميح واضح إلى السبب.

طابِق الهوية التي يستخدمها الخادم فعلًا

التجاوز يطابق شيئًا ما. على خادم يطابق الأسماء الشائعة للشهادات، يجب أن يكون اسم التجاوز ذلك الاسم الشائع، لا اسم العرض للشخص. انسخه من الشهادة لا من قائمة الحسابات.

الخادم المهيأ لاستخدام اسم المستخدم كاسم شائع يطابق مفتاحًا مختلفًا تمامًا، ولن يعمل أبدًا تجاوز مسمّى بحسب الشهادة. اقرأ الإعداد بدلًا من استنتاجه مما تعرضه قائمة الحسابات.

أبقِ عوامل المصادقة الإضافية التي يتطلبها النشر. نموذج العناوين المغلق يغيّر من يمكنه الاتصال وأي عنوان يستلم؛ وهو لا يستبدل فحص الشهادة أو العامل الثاني.

اكتب قواعد الوصول بعد أن تصبح الخريطة سليمة

بمجرد إغلاق خريطة الهوية إلى العنوان، تستطيع القواعد الإشارة إلى العناوين دون ادعاء أنها أشخاص. يمكن لاسم مستعار يجمع أطراف شخص واحد أن يصل إلى خدمة معينة بينما يصل اسم مستعار آخر إلى شيء آخر. يصبح الاسم المستعار الكائن القابل للمراجعة، ويصبح العنوان تفصيلًا تنفيذيًا داخله.

أبقِ الوجهات والمنافذ صريحة. السماح للشبكة المحلية كاملة من تجمع الأنفاق كله هو بالضبط التصميم الذي كان هذا التمرين يهدف إلى استبداله.

اقرأ قواعد العائم والمجموعة والواجهة بترتيب تقييمها الحقيقي، لأن مرورًا واسعًا سابقًا يبطل مرورًا ضيقًا لاحقًا. إيقاف التمرير الداخلي بين العملاء يبقي حركة الأقران عند الحد الذي تُراجع فيه تلك القواعد. القاعدة التي توجد على الورق فقط ليست إنفاذًا.

اختبر الحالات السلبية

جرّب أربعة اتصالات جديدة: طرف مسمّى، وآخر بلا أي تجاوز، وخدمة ينبغي أن تكون قابلة للوصول، وخدمة لا ينبغي. الطرف غير المدرج هو الحالة المهمة، لأنه الطرف الذي وُجد التصميم لإيقافه. إذا اتصل، فالحظر الافتراضي لا يؤدي وظيفته.

افحص IPv6 على حدة، لأن سياسة عناوين IPv4 لا تقول شيئًا عن حزمة ثانية. ثم أكّد أن التطبيق لا يزال يفوّض المستخدم، لأن عنوان النفق حقيقة شبكية وليس دليلًا على من يجلس أمام لوحة المفاتيح. كلا الفحصين ينتمي إلى ملاحظة القبول.

أخيرًا، خطّط للهجرة. التجاوزات الجديدة والقواعد الضيقة لا تغيّر بأثر رجعي الجلسات القائمة بالفعل، لذا يجب أن تنتهي الحالات القائمة أو تُمسح عمدًا.