VPN klienti a LAN: kdy použít samostatnou zónu

Umístění rozhraní tunelu do zóny LAN je nejkratší cesta k fungujícímu VPN a obvykle je to špatné výchozí nastavení. Přiznává vzdálenému klientovi stejnou důvěru, jakou má kabelová LAN, což úkol málokdy vyžaduje. Samostatná zóna stojí několik pravidel a činí hranici viditelnou. Rozhodnutí není, zda jsou zóny lepší; jde o to, které tři podmínky platí pro vaši síť.

Název zóny nic nešifruje a žádného uživatele neověřuje. Pouze seskupuje rozhraní pro model zásad firewallu.

Co členství v zóně skutečně řídí

Zóna seskupuje rozhraní nebo provoz v modelu firewallu. Její nastavení vstupu, výstupu a předávání pak řídí různé role. Vstup je provoz k samotnému routeru; předávání je provoz skrz něj k jinému hostiteli. Dokumentace OpenWrt k zónám právě proto považuje vstup, výstup a předávání za samostatná nastavení.

Povolení ze zóny VPN do zóny LAN není automaticky opačným povolením. Pravidla předávání mají směr a pravidlo, které povoluje provoz od klienta k serveru, nepovoluje relace od serveru ke klientovi. Klient, který může otevřít spojení k serveru, není klientem, ke kterému by server mohl otevřít zpětné spojení.

Právě tento rozdíl je důvodem, proč je samostatná zóna užitečná: můžete výslovně uvést každý směr a každou roli. Směr pište vedle každého pravidla.

Rozhodnutí první: vstup, předávání, nebo obojí

Pokud vzdálení klienti potřebují DNS od routeru, povolte vstup jen pro tuto službu. Pokud potřebují dosáhnout souborového serveru, povolte předávání na tento cíl. Většina návrhů VPN potřebuje obojí, ale pro různé služby.

Široký vstupní přístup ke každé místní službě téměř nikdy není nutný. Berte správu routeru jako samostatné rozhodnutí od přístupu k aplikacím. Pokud router potřebuje jen odpovídat na DNS, napište to jediné povolení a zbytek nechte zavřený.

Rozhodnutí druhé: které zdroje vzdálení klienti potřebují

Před psaním pravidel vypište rozsahy klientů, cíle a služby, které má VPN poskytovat. Seznam cílů je užitečnější než štítek důvěry, protože přežije migraci firewallu.

Držte správní rozhraní odděleně od běžného přístupu k aplikacím. Vzdálený klient, který dosáhne na wiki, tím nepotřebuje administrátorskou stránku routeru ani konzoli hypervizoru.

Pokud povolený cíl může dál předávat, hranice zóny končí u firewallu, ne u toho, co cíl dělá dál.

Rozhodnutí třetí: jak hranici prokážete

Po každé změně otestujte povolený tok a jeden záměrně zamítnutý. Důkaz, že se jedna stránka načte, neodhalí nezamýšlené široké povolení. Testujte z rozsahu adres VPN klienta, ne z LAN, a zahrňte směr, u kterého očekáváte selhání. Zapište oba výsledky vedle pravidla.

Před změnou zásad vzdálené zóny zachovejte přístup k obnovení brány. Používejte trvalou spravovanou konfiguraci místo úprav za běhu, jinak příští restart obnoví starou důvěru. Kopie předchozí konfigurace uložená mimo zařízení je nejlevnější návrat, jaký kdy budete mít.

Když síť roste, dokumentujte členství a účel pravidel. Nově připojené rozhraní by nemělo dědit oprávnění jen proto, že mu někdo dal pohodlný název zóny.