Cyfeiriadau twnnel statig yn pfSense: dewis neu gadwfa?

Mae dau ddyluniad yn edrych yn debyg ar bapur ac yn ymddwyn yn hollol wahanol pan fo rheol yn dibynnu arnynt. Mae un yn teipio cyfeiriad i mewn i drosysgrifiad cleient ac yn ymddiried yn y cyfeiriad fel hunaniaeth. Mae'r llall yn cau derbyniad deinamig yn gyfan gwbl, felly naill ai mae gan bwynt terfyn aseiniad unigryw neu nid yw'n cysylltu. Dim ond yr ail sy'n troi cyfeiriad yn fewnbwn polisi y gallwch ei amddiffyn, ac mae'r gwahaniaeth yn werth ei ddeall cyn ysgrifennu unrhyw reol wal dân.

Yr hyn y mae cyfeiriad trosysgrifiad yn ei addo mewn gwirionedd

Mae trosysgrifiad sy'n benodol i gleient yn cario opsiynau fesul cleient, gan gynnwys cyfeiriad twnnel a ffefrir. Mae Netgate yn disgrifio'r cyfeiriad hwnnw fel dewis ac nid fel cadwfa, sy'n golygu nad yw'r pwll deinamig yn ildio'r cyfeiriad i unrhyw un arall.

Mae hynny fel arfer yn iawn. Mae gwrthdrawiad yn brin, ac mae'r cleient fel arfer yn cael yr hyn y gofynnodd amdano, sy'n ddigon ar gyfer cyfleustra ac nid yn ddigon ar gyfer awdurdodiad. Mae cyfleustra ac awdurdodiad yn ofynion gwahanol, a dim ond un ohonynt sy'n goroesi gwrthdrawiad.

Gyda thopoleg is-rwydwaith, mae'r maes yn cymryd cyfeiriad y cleient ynghyd â masg rhwydwaith y gweinydd, felly mae cyfeiriad y tu mewn i dwnnel 10.90.0.0/24 yn cael ei ysgrifennu fel 10.90.0.10/24.

Nid oes unrhyw un o'r rhain yn cadw'r rhif. Gall cleient nad yw ei drosysgrifiad yn cyfateb, neu sesiwn ddyblyg, orffen yn rhywle arall yn y pwll, ac mae rheol sy'n seiliedig ar y cyfeiriad wedyn yn disgrifio rhywun nad yw yno.

Caewch y llwybr deinamig gyda diofyn wedi'i gwmpasu

Y dewis arall yw gweinydd statig yn unig: mae gan bob pwynt terfyn a dderbynnir ei hunaniaeth ei hun a'i gyfeiriad unigryw ei hun, ac nid oes unrhyw beth arall yn dod i mewn.

Mae ei weithredu yn golygu trosysgrifiad DEFAULT wedi'i gyfyngu i'r un gweinydd hwnnw gyda rhwystro cysylltiadau wedi'i alluogi. Yna ni all cleient heb drosysgrifiad cyfatebol ddychwelyd i dderbyniad deinamig arferol. Y llinell sengl honno sy'n troi dewis yn set gaeedig.

Mae cwmpas yn bwysig. Bydd diofyn trosysgrifiad a gymhwysir i bob achos VPN ar y ddyfais yn cloi twneli heb berthynas, ac mae'r methiant hwnnw'n edrych fel gwasanaeth wedi torri yn hytrach na phenderfyniad polisi. Rhwymwch ef i'r un gweinydd yr ydych yn newid ei fodel derbyn. Yna nodwch y cwmpas yn y cofnod newid, oherwydd ni fydd y person nesaf yn cofio pa dwnnel y mae'n perthyn iddo.

Archwiliwch y set gyfan a ganiateir wedyn. Nid yw'r bloc diofyn yn trwsio trosysgrifiad enwog a adawyd heb gyfeiriad, a bydd y pwynt terfyn hwnnw'n methu cysylltu heb awgrym amlwg pam.

Cyfatebwch â'r hunaniaeth y mae'r gweinydd yn ei defnyddio mewn gwirionedd

Mae trosysgrifiad yn cyfateb i rywbeth. Ar weinydd sy'n cyfateb enwau cyffredin tystysgrifau, rhaid i enw'r trosysgrifiad fod yr enw cyffredin hwnnw, nid enw arddangos y person. Copïwch ef o'r dystysgrif yn hytrach na rhestr y cyfrifon.

Mae gweinydd sydd wedi'i ffurfweddu i ddefnyddio'r enw defnyddiwr fel enw cyffredin yn cyfateb ar allwedd hollol wahanol, ac ni fydd trosysgrifiad a enwyd ar ôl y dystysgrif byth yn tanio. Darllenwch y gosodiad yn hytrach na'i amcangyfrif o'r hyn y mae rhestr y cyfrifon yn ei ddangos.

Cadwch y ffactorau dilysu ychwanegol y mae'r defnydd yn eu gofyn. Mae model cyfeiriadau caeedig yn newid pwy all gysylltu a pha gyfeiriad a gaiff; nid yw'n disodli'r gwiriad tystysgrif na'r ail ffactor.

Ysgrifennwch y rheolau mynediad ar ôl i'r map fod yn gadarn

Unwaith y bydd y map hunaniaeth-i-gyfeiriad wedi cau, gall rheolau gyfeirio at gyfeiriadau heb esgus eu bod yn bobl. Gall alias sy'n grwpio pwyntiau terfyn un person gyrraedd gwasanaeth penodol tra bo alias arall yn cyrraedd rhywbeth arall. Mae'r alias yn dod yn wrthrych adolygadwy, ac mae'r cyfeiriad yn dod yn manylyn gweithredu y tu mewn iddo.

Cadwch gyrchfannau a phorthladdoedd yn benodol. Caniatáu'r rhwydwaith lleol cyfan o'r pwll twnnel cyfan yw'r union ddyluniad yr oedd yr ymarfer hwn i fod i'w ddisodli.

Darllenwch reolau arnofiol, grŵp a rhyngwyneb yn eu gwir drefn gwerthuso, oherwydd mae taith lydan gynharach yn trechu un gul hwyrach. Mae diffodd anfon mewnol rhwng cleientiaid yn cadw traffig cyfoedion ar y ffin lle mae'r rheolau hynny'n cael eu hadolygu. Nid yw rheol sy'n bodoli ar bapur yn unig yn orfodaeth.

Profwch yr achosion negyddol

Rhowch gynnig ar bedwar cysylltiad newydd: pwynt terfyn enwedig, un heb unrhyw drosysgrifiad, gwasanaeth y dylid ei gyrraedd ac un na ddylid. Y pwynt terfyn nad yw ar y rhestr yw'r achos pwysig, oherwydd dyna'r un y mae'r dyluniad yn bodoli i'w atal. Os yw'n cysylltu, nid yw'r bloc diofyn yn gwneud ei waith.

Gwiriwch IPv6 ar wahân, gan nad yw polisi cyfeiriadau IPv4 yn dweud dim am ail stac. Yna cadarnhewch fod y rhaglen yn dal i awdurdodi'r defnyddiwr, oherwydd mae cyfeiriad twnnel yn ffaith rhwydwaith ac nid yn brawf o bwy sydd wrth y bysellfwrdd. Mae'r ddau wiriad yn perthyn i'r nodyn derbyn.

Yn olaf, cynlluniwch y mudo. Nid yw trosysgrifiadau newydd a rheolau cul yn newid sesiynau sydd eisoes wedi'u sefydlu yn ôl-weithredol, felly rhaid i'r cyflyrau presennol ddod i ben neu gael eu clirio'n fwriadol.