Statične adrese tunela u pfSense: preferencija ili rezervacija?

Dva dizajna izgledaju slično na papiru i ponašaju se sasvim različito kada pravilo zavisi od njih. Jedan upisuje adresu u klijentsko nadjačavanje i vjeruje adresi kao identitetu. Drugi potpuno zatvara dinamički prijem, tako da krajnja tačka ili ima jedinstvenu dodjelu ili se ne povezuje. Samo drugi pretvara adresu u element politike koji možete braniti, a razliku vrijedi razumjeti prije nego što napišete ijedno pravilo zaštitnog zida.

Šta adresa nadjačavanja zaista obećava

Nadjačavanje specifično za klijenta nosi opcije po klijentu, uključujući preferiranu adresu tunela. Netgate opisuje tu adresu kao preferenciju, a ne kao rezervaciju, što znači da dinamički skup ne ustupa adresu nikome drugom.

To je obično u redu. Kolizija je rijetka, a klijent obično dobije ono što je tražio, što je dovoljno za udobnost i nije dovoljno za autorizaciju. Udobnost i autorizacija su različiti zahtjevi, i samo jedan od njih preživi koliziju.

Kod topologije podmreže polje uzima adresu klijenta zajedno sa maskom mreže servera, tako da se adresa unutar tunela 10.90.0.0/24 zapisuje kao 10.90.0.10/24.

Ništa od toga ne rezerviše broj. Klijent čije se nadjačavanje ne poklapa, ili duplirana sesija, može završiti drugdje u skupu, i pravilo vezano za adresu tada opisuje nekoga koga tamo nema.

Zatvorite dinamički put ograničenim podrazumijevanim

Alternativa je server samo sa statičkim adresama: svaka primljena krajnja tačka ima sopstveni identitet i sopstvenu jedinstvenu adresu, i ništa drugo ne ulazi.

Primjena znači nadjačavanje DEFAULT ograničeno na taj jedan server sa uključenim blokiranjem veza. Klijent bez odgovarajućeg nadjačavanja tada ne može da se vrati na uobičajeni dinamički prijem. Upravo taj jedan red pretvara preferenciju u zatvoren skup.

Obim je važan. Podrazumijevano nadjačavanje primijenjeno na svaku VPN instancu na uređaju zaključaće nepovezane tunele, i taj kvar izgleda kao pokvarena usluga, a ne kao odluka politike. Vežite ga za jedini server čiji model prijema mijenjate. Zatim zabilježite obim u dnevniku izmjena, jer sljedeća osoba neće pamtiti kojem tunelu pripada.

Nakon toga provjerite cijeli dozvoljeni skup. Podrazumijevano blokiranje ne popravlja imenovano nadjačavanje ostavljeno bez adrese, i ta krajnja tačka jednostavno neće moći da se poveže bez očiglednog nagovještaja zašto.

Uparite sa identitetom koji server zaista koristi

Nadjačavanje se poklapa sa nečim. Na serveru koji upoređuje uobičajena imena sertifikata, ime nadjačavanja mora biti to uobičajeno ime, a ne prikazano ime osobe. Kopirajte ga iz sertifikata, a ne iz liste naloga.

Server konfigurisan da koristi korisničko ime kao uobičajeno ime upoređuje po potpuno drugom ključu, i nadjačavanje nazvano po sertifikatu nikada se neće aktivirati. Pročitajte postavku, umjesto da je zaključujete iz onoga što pokazuje lista naloga.

Zadržite dodatne faktore autentifikacije koje zahtijeva raspoređivanje. Zatvoren model adresa mijenja ko može da se poveže i koju adresu dobija; on ne zamjenjuje provjeru sertifikata ni drugi faktor.

Napišite pravila pristupa kada mapa bude ispravna

Kada je mapa od identiteta do adrese zatvorena, pravila mogu referencirati adrese bez pretvaranja da su to ljudi. Alias koji grupiše krajnje tačke jedne osobe može dostići određenu uslugu, dok drugi alias dostiže nešto drugo. Alias postaje objekat za pregled, a adresa postaje detalj implementacije unutar njega.

Držite odredišta i portove eksplicitnim. Dozvoljavanje cijele lokalne mreže iz cijelog skupa tunela je upravo dizajn koji je ova vježba trebalo da zamijeni.

Čitajte lebdeća, grupna i interfejsna pravila u njihovom stvarnom redoslijedu procjene, jer raniji široki prolaz poništava kasniji uski. Isključivanje internog prosljeđivanja između klijenata zadržava saobraćaj između parova na granici gdje se ta pravila pregledaju. Pravilo koje postoji samo na papiru nije primjena.

Testirajte negativne slučajeve

Isprobajte četiri nove veze: imenovanu krajnju tačku, onu bez ikakvog nadjačavanja, uslugu koja bi trebalo da bude dostupna i onu koja ne bi trebalo. Nepopisana krajnja tačka je važan slučaj, jer je upravo ona ta koju dizajn treba da zaustavi. Ako se poveže, podrazumijevano blokiranje ne radi svoj posao.

Provjerite IPv6 odvojeno, jer politika adresa IPv4 ništa ne govori o drugom steku. Zatim potvrdite da aplikacija i dalje autorizuje korisnika, jer je adresa tunela mrežna činjenica, a ne dokaz ko je za tastaturom. Obje provjere pripadaju zapisniku o prihvatanju.

Na kraju, isplanirajte migraciju. Nova nadjačavanja i uska pravila ne mijenjaju unazad već uspostavljene sesije, tako da postojeća stanja moraju isteći ili biti namjerno obrisana.