pfSense-də statik tunel ünvanları: üstünlük, yoxsa rezervasiya?

İki dizayn kağız üzərində oxşar görünür və bir qayda onlardan asılı olduqda çox fərqli davranır. Biri müştəri üzərində yazmaya ünvan yazır və ünvana şəxsiyyət kimi güvənir. Digəri dinamik qəbulu tamamilə bağlayır, belə ki son nöqtə ya unikal təyinat alır, ya da qoşulmur. Yalnız ikincisi ünvanı müdafiə edə biləcəyiniz siyasət girdisinə çevirir və fərqi tək bir firewall qaydası yazmazdan əvvəl anlamağa dəyər.

Üzərində yazma ünvanı əslində nə vəd edir

Müştəriyə xas üzərində yazma müştəri başına seçimlər daşıyır, o cümlədən üstünlük verilən tunel ünvanı. Netgate bu ünvanı rezervasiya deyil, üstünlük kimi təsvir edir, yəni dinamik hovuz ünvanı başqası üçün vermir.

Bu adətən problem deyil. Toqquşma nadirdir və müştəri adətən istədiyini alır; bu rahatlıq üçün kifayətdir və avtorizasiya üçün kifayət etmir. Rahatlıq və avtorizasiya fərqli tələblərdir və toqquşmadan yalnız biri sağ çıxır.

Alt şəbəkə topologiyasında sahə müştəri ünvanını server şəbəkəsinin maskası ilə birlikdə götürür, buna görə 10.90.0.0/24 tunelinin içindəki ünvan 10.90.0.10/24 kimi yazılır.

Bunların heç biri nömrəni rezerv etmir. Üzərində yazması uyğun gəlməyən müştəri və ya təkrarlanan sessiya hovuzun başqa yerində bitə bilər və ünvana əsaslanan qayda o zaman orada olmayan birini təsvir edir.

Dinamik yolu əhatəsi müəyyən edilmiş standartla bağlayın

Alternativ yalnızca statik işləyən serverdir: qəbul edilən hər son nöqtənin öz şəxsiyyəti və öz unikal ünvanı var və başqa heç nə içəri girmir.

Bunu tətbiq etmək, bağlantı bloklanması aktiv olan və yalnız həmin bir serverə aid edilmiş DEFAULT üzərində yazma deməkdir. Uyğun üzərində yazması olmayan müştəri bundan sonra adi dinamik qəbula qayıda bilməz. Üstünlüyü qapalı çoxluğa çevirən məhz o tək sətirdir.

Əhatə vacibdir. Cihazdakı hər VPN nüsxəsinə tətbiq edilən standart üzərində yazma əlaqəsiz tunelləri bağlayacaq və bu nasazlıq siyasət qərarından çox xarab xidmət kimi görünür. Onu qəbul modelini dəyişdiyiniz tək serverə bağlayın. Sonra əhatəni dəyişiklik jurnalında qeyd edin, çünki növbəti şəxs onun hansı tunelə aid olduğunu xatırlamayacaq.

Sonra icazə verilən çoxluğun hamısını yoxlayın. Standart bloklama ünvansız qalmış adlı üzərində yazmanı düzəltmir və o son nöqtə səbəbi barədə aydın işarə olmadan sadəcə qoşula bilməyəcək.

Serverin həqiqətən istifadə etdiyi şəxsiyyətlə uyğunlaşdırın

Üzərində yazma nəyisə uyğunlaşdırır. Sertifikatların ümumi adlarını uyğunlaşdıran serverdə üzərində yazmanın adı həmin ümumi ad olmalıdır, şəxsin göstərilən adı deyil. Onu hesab siyahısından deyil, sertifikatdan kopyalayın.

İstifadəçi adını ümumi ad kimi istifadə etmək üçün konfiqurasiya edilmiş server tamamilə fərqli açarla uyğunlaşdırır və sertifikata görə adlandırılmış üzərində yazma heç vaxt işə düşməyəcək. Ayarı hesab siyahısının göstərdiklərindən çıxarmaq əvəzinə oxuyun.

Yerləşdirmənin tələb etdiyi əlavə autentifikasiya faktorlarını saxlayın. Qapalı ünvan modeli kimin qoşula biləcəyini və hansı ünvanı alacağını dəyişir; sertifikat yoxlamasını və ya ikinci faktoru əvəz etmir.

Giriş qaydalarını xəritə düzgün olduqdan sonra yazın

Şəxsiyyətdən ünvana xəritə bağlandıqdan sonra qaydalar ünvanlara insan kimi davranmadan istinad edə bilər. Bir şəxsin son nöqtələrini qruplaşdıran ləqəb müəyyən bir xidmətə çata bilər, başqa bir ləqəb isə başqa bir şeyə çatır. Ləqəb yoxlanıla bilən obyektə çevrilir və ünvan onun içində tətbiq detallına çevrilir.

Təyinatları və portları açıq saxlayın. Bütün tünel hovuzundan bütün yerli şəbəkəyə icazə vermək bu məşqin əvəz etməli olduğu dizaynın özüdür.

Üzən, qrup və interfeys qaydalarını real qiymətləndirmə sırası ilə oxuyun, çünki əvvəlki geniş keçid sonrakı dar keçidi ləğv edir. Müştərilər arası daxili yönləndirməni söndürmək həmyaşıd trafikini bu qaydaların nəzərdən keçirildiyi sərhəddə saxlayır. Yalnız kağız üzərində mövcud olan qayda icra deyil.

Mənfi halları sınayın

Dörd yeni bağlantı sınayın: adlı son nöqtə, heç bir üzərində yazması olmayan biri, əlçatan olmalı olan xidmət və olmamalı olan xidmət. Siyahıda olmayan son nöqtə vacib haldır, çünki dizayn məhz onu dayandırmaq üçün mövcuddur. Əgər qoşulursa, standart bloklama öz işini görmür.

IPv6-nı ayrıca yoxlayın, çünki IPv4 ünvan siyasəti ikinci yığın haqqında heç nə demir. Sonra tətbiqin istifadəçini hələ də avtorizasiya etdiyini təsdiqləyin, çünki tunel ünvanı şəbəkə faktıdır və klaviaturada kimin olduğunun sübutu deyil. Hər iki yoxlama qəbul qeydinə aiddir.

Nəhayət, miqrasiyanı planlayın. Yeni üzərində yazmalar və dar qaydalar artıq qurulmuş sessiyaları geriyə dəyişmir, buna görə mövcud vəziyyətlər bitməli və ya qəsdən təmizlənməlidir.