Статычныя адрасы тунэля ў pfSense: перавага ці рэзерваванне?

Два рашэнні выглядаюць падобна на паперы і паводзяць сябе зусім па-рознаму, калі ад іх залежыць правіла. Адно ўпісвае адрас у кліенцкае перавызначэнне і давярае адрасу як ідэнтычнасці. Іншае цалкам закрывае дынамічны допуск, таму канцавы пункт альбо атрымлівае ўнікальнае прызначэнне, альбо не падключаецца. Толькі другое ператварае адрас у элемент палітыкі, які можна абараніць, і розніцу варта зразумець, перш чым пісаць хоць адно правіла міжсеткавага экрана.

Што насамрэч абяцае адрас перавызначэння

Кліенцкае перавызначэнне змяшчае параметры для асобнага кліента, уключаючы пажаданы адрас тунэля. Netgate апісвае гэты адрас як перавагу, а не як рэзерваванне, гэта значыць дынамічны пул не аддае адрас нікому іншаму.

Звычайна гэта нармальна. Калезія рэдкая, і кліент звычайна атрымлівае запытанае, чаго дастаткова для зручнасці і недастаткова для аўтарызацыі. Зручнасць і аўтарызацыя — розныя патрабаванні, і толькі адно з іх перажывае калезію.

Пры тапалогіі падсеткі поле прымае адрас кліента разам з маскай сеткі сервера, таму адрас унутры тунэля 10.90.0.0/24 запісваецца як 10.90.0.10/24.

Нішто з гэтага не рэзервуе нумар. Кліент, чыё перавызначэнне не супала, або дубляваная сесія можа апынуцца ў іншым месцы пула, і правіла, прывязанае да адраса, тады апісвае таго, каго там няма.

Закрыйце дынамічны шлях абмежаваным значэннем па змаўчанні

Альтэрнатыва — сервер толькі са статычнымі адрасамі: кожны дапушчаны канцавы пункт мае ўласную ідэнтычнасць і ўласны ўнікальны адрас, і больш нічога не праходзіць.

Рэалізацыя азначае перавызначэнне DEFAULT, абмежаванае гэтым адным серверам, з уключанай блакіроўкай злучэнняў. Кліент без адпаведнага перавызначэння тады не можа вярнуцца да звычайнага дынамічнага допуску. Менавіта гэты адзін радок ператварае перавагу ў закрытае мноства.

Вобласць прымянення важная. Перавызначэнне па змаўчанні, ужытае да кожнага экзэмпляра VPN на прыладзе, заблакуе не звязаныя тунэлі, і гэтая адмова выглядае як зламаная служба, а не як рашэнне палітыкі. Прывязайце яго да таго адзінага сервера, чыю мадэль допуску вы змяняеце. Затым адзначце вобласць у журнале зменаў, бо наступны чалавек не ўспомніць, да якога тунэля яна належыць.

Пасля гэтага праверце ўсё дазволенае мноства. Блакіроўка па змаўчанні не выпраўляе іменаванае перавызначэнне, пакінутае без адраса, і гэты канцавы пункт проста не падключыцца без відавочнай падказкі пра прычыну.

Супстаўляйце з той ідэнтычнасцю, якую сервер сапраўды выкарыстоўвае

Перавызначэнне з чымсьці супастаўляецца. На серверы, які супастаўляе агульныя імёны сертыфікатаў, імя перавызначэння павінна быць гэтым агульным імем, а не адлюстроўваным імем чалавека. Скапіруйце яго з сертыфіката, а не са спісу ўліковых запісаў.

Сервер, наладжаны выкарыстоўваць імя карыстальніка як агульнае імя, супастаўляе па зусім іншым ключы, і перавызначэнне, названае па сертыфікаце, ніколі не спрацуе. Прачытайце наладу, а не выводзьце яе з таго, што паказвае спіс уліковых запісаў.

Захавайце дадатковыя фактары аўтэнтыфікацыі, якіх патрабуе разгортванне. Закрытая мадэль адрасоў змяняе, хто можа падключацца і які адрас атрымлівае; яна не замяняе праверку сертыфіката ці другі фактар.

Напішыце правілы доступу пасля таго, як карта правільная

Калі карту адпаведнасці ідэнтычнасці і адраса закрыта, правілы могуць спасылацца на адрасы, не выдаючы іх за людзей. Псеўданім, што групуе канцавыя пункты аднаго чалавека, можа дасягнуць пэўнай службы, тады як іншы псеўданім дасягае чагосьці іншага. Псеўданім становіцца аб'ектам прагляду, а адрас — дэталлю рэалізацыі ўнутры яго.

Трымайце прызначэнні і порты яўнымі. Дазвол усёй лакальнай сеткі з усяго пула тунэляў — гэта менавіта тое рашэнне, якое мела замяніць гэтая практыка.

Чытайце плаваючыя, групавыя і інтэрфейсныя правілы ў іх рэальным парадку вылічэння, бо ранейшы шырокі праход скасоўвае пазнейшы вузкі. Выключэнне ўнутранай перасылкі паміж кліентамі ўтрымлівае трафік паміж вузламі на мяжы, дзе гэтыя правілы праглядаюцца. Правіла, што існуе толькі на паперы, не з'яўляецца прымяненнем.

Праверце адмоўныя выпадкі

Выпрабуйце чатыры новыя злучэнні: іменаваны канцавы пункт, пункт зусім без перавызначэння, службу, якая павінна быць дасягальнай, і службу, якая не павінна. Не пазначаны ў спісе канцавы пункт — важны выпадак, бо менавіта яго рашэнне і створанае спыніць. Калі ён падключаецца, блакіроўка па змаўчанні не выконвае сваёй працы.

Праверце IPv6 асобна, паколькі палітыка адрасоў IPv4 нічога не кажа пра другі стек. Затым пацвердзіце, што праграма па-ранейшаму аўтарызуе карыстальніка, бо адрас тунэля — гэта сеткавы факт, а не доказ таго, хто за клавіятурай. Абедзве праверкі маюць быць у прыёмачнай запісцы.

Нарэшце, сплануйце міграцыю. Новыя перавызначэнні і вузкія правілы не змяняюць заднім лікам ужо ўсталяваныя сесіі, таму існуючыя станы павінны скончыцца або быць ачышчаныя наўмысна.