VPN müştəriləri və LAN: ayrı zona nə vaxt istifadə edilməlidir

Tunel interfeysini LAN zonasına yerləşdirmək işlək VPN-ə ən qısa yoldur və adətən səhv standart seçimdir. Bu, uzaq müştəriyə kabel ilə bağlı LAN-ın malik olduğu eyni etimadı verir, halbuki tapşırıq bunu nadir hallarda tələb edir. Ayrı zona bir neçə qaydaya başa gəlir və sərhədi görünən edir. Qərar zonaların daha yaxşı olub-olmaması deyil; hansı üç şərtin şəbəkənizə aid olduğudur.

Zonanın adı heç nəyi şifrələmir və istifadəçini autentifikasiya etmir. O, yalnız interfeysləri firewall-ın siyasət modeli üçün qruplaşdırır.

Zona üzvlüyü əslində nəyə nəzarət edir

Zona interfeysləri və ya trafiki firewall modeli çərçivəsində qruplaşdırır. Onun input, output və forwarding parametrləri sonra müxtəlif rolları idarə edir. Input router-in özünə gedən trafikdir; forwarding isə ondan keçib başqa hosta gedən trafikdir. OpenWrt-in zona sənədləri giriş, çıxış və yönləndirməni məhz bu səbəbdən ayrı parametrlər kimi qəbul edir.

VPN zonasından LAN zonasına verilən icazə avtomatik olaraq əks icazə deyil. Yönləndirmə qaydaları istiqamətlidir və müştəridən serverə trafikə icazə verən qayda serverdən müştəriyə sessiyalara icazə vermir. Serverə bağlantı aça bilən müştəri, serverin geri bağlantı aça biləcəyi müştəri deyil.

Bu fərq ayrı zonanın faydalı olmasının səbəbidir: hər istiqaməti və hər rolu açıq şəkildə göstərə bilərsiniz. Hər qaydanın yanında istiqaməti yazın.

Qərar bir: input, forward, yoxsa ikisi

Uzaq müştərilərə router-dən DNS lazımdırsa, yalnız bu xidmət üçün input-a icazə verin. Fayl serverinə çatmalı olsalar, həmin təyinat üçün forward-a icazə verin. Əksər VPN dizaynları ikisinə ehtiyac duyur, amma fərqli xidmətlər üçün.

Hər yerli xidmətə geniş input girişi demək olar ki, heç vaxt tələb olunmur. Router idarəçiliyini tətbiq girişindən ayrı bir qərar kimi qəbul edin. Router yalnız DNS-ə cavab verməlidirsə, o tək icazəni yazın və qalanını bağlı saxlayın.

Qərar iki: uzaq müştərilərə hansı resurslar lazımdır

Qaydaları yazmazdan əvvəl müştəri aralıqlarını, təyinatları və VPN-in verməli olduğu xidmətləri sadalayın. Təyinat siyahısı etimad etiketindən faydalıdır, çünki firewall miqrasiyasından sağ çıxır.

İdarəetmə interfeyslərini adi tətbiq girişindən ayrı saxlayın. Vikiyə çata bilən uzaq müştəri bununla router-in admin səhifəsinə və ya hipervizor konsoluna ehtiyac duymur.

İcazə verilmiş təyinat daha irəli yönləndirə bilirsə, zona sərhədi firewall-da bitir, təyinatın sonra nə etdiyində deyil.

Qərar üç: sərhədi necə sübut edəcəksiniz

Hər dəyişiklikdən sonra icazə verilmiş axını və qəsdən rədd edilmiş birini sınaqdan keçirin. Bir vebsaytın açıldığını sübut etmək təsadüfi geniş icazəni üzə çıxarmır. VPN müştərisinin ünvan aralığından sınaqdan keçirin, LAN-dan deyil, və uğursuz olmasını gözlədiyiniz istiqaməti də daxil edin. Hər iki nəticəni qaydanın yanında qeyd edin.

Uzaq zona siyasətini dəyişməzdən əvvəl gateway-in bərpa girişini qoruyun. İşləmə vaxtı düzəlişləri yerinə davamlı idarə olunan konfiqurasiyadan istifadə edin, əks halda növbəti yenidən başlatma köhnə etimadı bərpa edəcək. Əvvəlki konfiqurasiyanın cihazdan kənarda saxlanan surəti, əldə edəcəyiniz ən ucuz geri qaytarmadır.

Şəbəkə böyüdükcə üzvlüyü və qaydaların məqsədini sənədləşdirin. Yeni qoşulmuş interfeys yalnız kimsə ona rahat zona adı verdiyi üçün imtiyazları miras almamalıdır.