İki müştəri qrupu, bir server: siyasəti harada tətbiq etməli

İki müştəri qrupunu fərqli alt şəbəkələrə yerləşdirmək təcrid kimi görünür və elə deyil. Ünvanlar paketin haradan gəldiyini göstərir, icazə isə onu yönləndirənin verdiyi qərardır. Bu suala maska deyil, konfiqurasiya cavab verir, ona görə hər hansı qayda yazmazdan əvvəl həmyaşıd trafikini hansı komponentin yönləndirdiyini müəyyən edin.

Alt şəbəkə etiketdir, qayda deyil

Hər qrupa bir hovuz təyin etmək sizə oxunaqlı ünvanlar verir, başqa heç nə. Əlavə marşrut qəbul edən müştəri çatımlılıq qazanır və çatımlılıq icazə deyil. Danışma icazəsi yönləndirmə qərarındadır ki, bu da serverin necə konfiqurasiya edildiyindən asılı olaraq demonun və ya nüvənin daxilində ola bilər.

Ünvan sahibliyi prefiksi qrup seçicisi kimi istifadə edilə bilən edən şeydir. Hər autentifikasiya olunmuş şəxsiyyət gözlənilən ünvana və ya aralığa uyğunlaşmalıdır və bir neçə cihaz bir etimadnaməni və bir təyinatı paylaşan kimi bu uyğunlaşma pozulur. Mənbə prefiksinə güvənməzdən əvvəl şəxsiyyəti və eyni vaxtlılığı həll edin, çünki hansı maşının zəng etdiyini təxmin edən siyasət ən pis anda yanlış olana icazə verir.

Həmyaşıd trafikini daşıyan yolu seçin

Demon həmyaşıd paketlərini öz prosesi daxilində yönləndirdikdə, həmin paketlər heç vaxt hostun yönləndirmə qarmağına çatmır, ona görə nüvə qaydası onları görə bilmir. Bu daxili yönləndirməni söndürün və nüvə adi yönləndirmə qaydalarının tətbiq olunduğu yönləndirmə nöqtəsinə çevrilir.

# peer forwarding inside the daemon: enforce with per-group policy instead of FORWARD rules
client-to-client
# kernel forwarding path: remove the line above, then filter in the forward chain

Yükləməsi azad edilmiş məlumat kanalları və məhsul tərəfindən idarə olunan serverlər öz tətbiq modellərini dərc edir, ona görə icma davranışını fərz etmək əvəzinə hansını işlətdiyinizi təsdiqləyin. Qaçmağa dəyər nasazlıq icmalda düzgün görünən və iş vaxtı heç vaxt müraciət olunmayan qaydadır.

Qaydaları yazmazdan əvvəl matrisi yazın

Qısa matris qaydalar toplusundan çox asan nəzərdən keçirilir və tətbiqin yerinə yetirməli olduğu müqavilədir: eyni qrup həmyaşıdlarına icazə, qruplar arası həmyaşıdlara qadağa, hər iki qrupa bir adlı paylaşılan xidmətə icazə, qalan hər şeyə qadağa. Bu dörd sətri firewall redaktorunu açmazdan əvvəl yazın. Qaydalar sintaksisini oxumayan rəyçi yenə də matrisi yoxlaya bilər. Sonra tətbiq yalnız sətirlərə uyğun gəlməlidir.

Yazarkən üç təyinat sinfini ayrı saxlayın. VPN hostundakı xidmət yerli girişdir, başqa müştəri həmyaşıd tranzitidir, şlüz arxasındakı maşın isə fərqli yönləndirmə yoludur. Bir səxavətli qayda üçünü təsadüfən verə bilər və qrup siyasəti beləcə əlavə addımlarla düz şəbəkəyə çevrilir. Niyyət növbəti redaktədən sağ çıxsın deyə hər sətrin yanında sinfi yazın.

Qaydaları sağ qalacaqları yerə qoyun

Qərarları firewallun qalan hissəsinin saxlanıldığı yerdə, onları udacaq hər hansı icazəverici qaydadan əvvəl əlavə edin. Qayda sırası siyasətin bir hissəsidir və geniş icazədən sonra yerləşdirilən düzgün qayda heç nə tətbiq etmir. Dəyişiklikdən əvvəl və sonra qayda nömrələrini qeyd edin. Redaktorda olub işləyən qaydalar toplusunda olmayan siyasət nəzarət deyil, plandır.

Siyasət dəyişdikdə artıq mövcud olan axınlara nə olacağına qərar verin, çünki dəyişiklikdən əvvəl açılmış sessiya sonra da davam edə bilər. Ayrılan üzv girişi dərhal itirməlidirsə, qaydalar toplusuna əlaqənin öz-özünə bağlanmasını gözləmək əvəzinə həmin vəziyyəti dayandırmağın bir yolu lazımdır.

Qaydaları firewallun qalan hissəsinə sahib olan mexanizm vasitəsilə qalıcı edin və matrisi onların yanında qeyd edin. Qeydə alınmamış siyasət növbəti hadisə zamanı yaddaşdan yenidən çıxarılır, adətən tələsən birinin tərəfindən.

Hər iki tərəfdən sübut edin

Eyni qrup daxilində çatımlılığı, qruplar arası uğursuzluğu və paylaşılan xidməti hər qrupdan bir müştəri ilə sınaqdan keçirin. Bir müştəridən tək sınaq matrisin yarısını sübut edir və buraxdığı yarısı adətən səhv olan yarıdır. Rədd istiqamətini iki dəfə təkrarlayın, çünki keşlənmiş sessiya tətbiq səhvini gizlədə bilər. Hansı cütü sınadığınızı qeyd edin ki, növbəti şəxs bunu təkrarlamasın.

Tunel onu daşıyırsa, yoxlamanı IPv6 üzərində təkrarlayın və adi tətbiq autentifikasiyasını yerində saxlayın. Mənbə prefiksi hesab deyil, ona görə şəbəkə siyasətindən keçmək xidmətin zəng edənə güvənməli olduğu anlamına gəlmir.