Кліенты VPN і лакальная сетка: калі патрэбна асобная зона

Змяшчэнне інтэрфейса тунеля ў зону лакальнай сеткі — найкарацейшы шлях да працуючага VPN, і звычайна гэта няправільнае значэнне па змаўчанні. Гэта дае аддаленаму кліенту той жа давер, што і правадная лакальная сетка, а гэта рэдка патрабуецца задачай. Асобная зона каштуе некалькі правіл і робіць мяжу бачнай. Рашэнне не ў тым, ці зоны лепшыя; яно ў тым, якія тры ўмовы дзейнічаюць у вашай сетцы.

Назва зоны нічога не шыфруе і не аўтэнтыфікуе карыстальніка. Яна толькі групуе інтэрфейсы для мадэлі палітык міжсеткавага экрана.

Што насамрэч кантралюе членства ў зоне

Зона групуе інтэрфейсы або трафік у мадэлі міжсеткавага экрана. Яе налады ўваходу, выхаду і перасылкі затым кіруюць рознымі ролямі. Уваход — гэта трафік да самога маршрутызатара; перасылка — гэта трафік праз яго да іншага хоста. Дакументацыя OpenWrt пра зоны разглядае ўваход, выхад і перасылку як асобныя налады менавіта з гэтай прычыны.

Дазвол з зоны VPN у зону лакальнай сеткі не з'яўляецца аўтаматычна зваротным дазволам. Правілы перасылкі маюць напрамак, і правіла, якое дазваляе трафік ад кліента да сервера, не дазваляе сесіі ад сервера да кліента. Кліент, які можа адкрыць злучэнне да сервера, не абавязкова кліент, да якога сервер можа адкрыць зваротнае злучэнне.

Гэта розніца і ёсць прычынай карысці асобнай зоны: вы можаце яўна вызначыць кожны напрамак і кожную ролю. Пішыце напрамак побач з кожным правілам.

Рашэнне першае: уваход, перасылка або абодва

Калі аддаленым кліентам патрэбны DNS ад маршрутызатара, дазвольце ўваход толькі для гэтай паслугі. Калі ім трэба дасягнуць файлавага сервера, дазвольце перасылку на гэтае прызначэнне. Большасць праектаў VPN патрабуюць абодвух, але для розных паслуг.

Шырокі доступ праз уваход да ўсіх лакальных паслуг амаль ніколі не патрэбны. Разглядайце кіраванне маршрутызатарам як асобнае рашэнне ад доступу да праграм. Калі маршрутызатару трэба толькі адказваць на DNS, запішыце гэты адзіны дазвол і пакіньце астатняе закрытым.

Рашэнне другое: якія рэсурсы патрэбны аддаленым кліентам

Пералічыце дыяпазоны кліентаў, прызначэнні і паслугі, якія павінен даць VPN, перад напісаннем правіл. Спіс прызначэнняў карыснейшы за этыкетку даверу, бо ён перажывае міграцыю міжсеткавага экрана.

Трымайце інтэрфейсы кіравання асобна ад звычайнага доступу да праграм. Аддалены кліент, які можа дасягнуць вікі, не мае праз гэта патрэбы ў адміністрацыйнай старонцы маршрутызатара або кансолі гіпервізара.

Калі дазволенае прызначэнне можа перасылаць далей, мяжа зоны спыняецца на міжсеткавым экране, а не на тым, што прызначэнне робіць далей.

Рашэнне трэцяе: як вы дакажаце мяжу

Пасля кожнай змены правярайце дазволены паток і наўмысна заблакаваны. Доказ таго, што адзін сайт загружаецца, не выяўляе ненаўмысна шырокага дазволу. Правярайце з дыяпазону адрасоў кліента VPN, а не з лакальнай сеткі, і ўключыце напрамак, у якім чакаеце адмовы. Запішыце абодва вынікі побач з правілам.

Захавайце доступ да аднаўлення шлюза перад зменай палітыкі аддаленай зоны. Выкарыстоўвайце пастаянную кіруемую канфігурацыю замест правак падчас працы, інакш наступны перазапуск верне стары давер. Копія папярэдняй канфігурацыі, захаваная па-за прыладай, — самае таннае вяртанне, якое вы калі-небудзь атрымаеце.

Калі сетка расце, дакументуйце членства і мэту правілаў. Новадалучаны інтэрфейс не павінен наследаваць прывілеі толькі таму, што нехта даў яму зручную назву зоны.