Dau grŵp cleientiaid, un gweinydd: ble i orfodi’r polisi

Mae rhoi dau grŵp cleientiaid ar isrwydau gwahanol yn edrych fel ynysu, ac nid yw. Mae cyfeiriadau’n disgrifio o ble y mae pecyn yn ymddangos i ddod, tra mai penderfyniad a wneir gan beth bynnag sy’n ei anfon yw caniatâd. Mae’r cwestiwn hwnnw’n cael ei ateb gan ffurfweddiad yn hytrach na’r mwgwd, felly penderfynwch pa gydran sy’n anfon traffig rhwng cymheiriaid cyn i chi ysgrifennu unrhyw reol.

Label yw isrwyd, nid rheol

Mae neilltuo un pwll i bob grŵp yn rhoi cyfeiriadau darllenadwy i chi a dim byd arall. Mae cleient sy’n derbyn llwybr ychwanegol wedi ennill cyrhaeddiad, ac nid awdurdodiad yw cyrhaeddiad. Mae’r caniatâd i siarad yn y penderfyniad anfon, a all fyw yn y daemon neu yn y cnewyllyn yn dibynnu ar sut y mae’r gweinydd wedi’i ffurfweddu.

Perchenogaeth cyfeiriad sy’n gwneud rhagddodiad yn ddefnyddiol fel detholydd grŵp. Rhaid i bob hunaniaeth ddilysedig fapio i gyfeiriad neu ystod ragweladwy, ac mae’r mapio hwnnw’n methu cyn gynted ag y bydd sawl dyfais yn rhannu un cymhwyster ac un neilltuad. Datryswch hunaniaeth a chydamseredd cyn dibynnu ar ragddodiad ffynhonnell, oherwydd mae polisi sy’n dyfalu pa beiriant sy’n galw yn awdurdodi’r un anghywir ar yr eiliad waethaf.

Dewiswch y llwybr sy’n cario traffig cymheiriaid

Pan fydd y daemon yn anfon pecynnau cymheiriaid o fewn ei broses ei hun, nid yw’r pecynnau hynny byth yn cyrraedd bachyn anfon y gwesteiwr, felly ni all rheol cnewyllyn eu gweld. Analluogwch yr anfon mewnol hwnnw a daw’r cnewyllyn yn bwynt anfon, lle mae rheolau anfon cyffredin yn berthnasol.

# peer forwarding inside the daemon: enforce with per-group policy instead of FORWARD rules
client-to-client
# kernel forwarding path: remove the line above, then filter in the forward chain

Mae sianeli data dadlwythol a gweinyddwyr a reolir gan gynnyrch yn cyhoeddi eu modelau gorfodi eu hunain, felly cadarnhewch pa un rydych chi’n ei redeg yn hytrach na rhagdybio ymddygiad y gymuned. Y methiant sy’n werth ei osgoi yw rheol sy’n edrych yn gywir mewn adolygiad ac nad yw byth yn cael ei hystyried ar amser rhedeg.

Ysgrifennwch y matrics cyn ysgrifennu rheolau

Mae matrics byr yn haws ei adolygu na set o reolau, a hwn yw’r contract y mae’n rhaid i’r gweithrediad ei fodloni: cymheiriaid o’r un grŵp yn cael eu caniatáu, cymheiriaid ar draws grwpiau yn cael eu gwarafun, y ddau grŵp yn cael mynd at un gwasanaeth a rennir a enwir, popeth arall yn cael ei warafun. Ysgrifennwch y pedair llinell hynny cyn i chi agor golygydd mur tân. Gall adolygydd nad yw’n darllen cystrawen rheolau wirio’r matrics o hyd. Yna dim ond gorfod cyd-fynd â’r llinellau sydd raid i’r gweithrediad ei wneud.

Cadwch y tri dosbarth cyrchfan ar wahân wrth i chi ysgrifennu. Mae gwasanaeth ar westeiwr VPN yn fewnbwn lleol, mae cleient arall yn dramwyfa cymheiriaid, ac mae peiriant y tu ôl i’r porth yn llwybr anfon gwahanol. Gall un rheol hael ganiatáu’r tri ar ddamwain, a dyna sut y mae polisi grŵp yn troi’n rhwydwaith gwastad gyda chamau ychwanegol. Ysgrifennwch y dosbarth wrth ymyl pob rhes fel bod y bwriad yn goroesi’r golygiad nesaf.

Rhowch y rheolau lle maen nhw’n goroesi

Ychwanegwch y penderfyniadau yn yr un man ag y cedwir gweddill y mur tân, o flaen unrhyw reol ganiatäol a fyddai fel arall yn eu llyncu. Mae trefn rheolau yn rhan o’r polisi, ac nid yw rheol gywir a roddir ar ôl derbyniad eang yn gorfodi dim o gwbl. Nodwch rifau’r rheolau cyn ac ar ôl y newid. Mae polisi sy’n bodoli mewn golygydd ond nid yn y set reolau sy’n rhedeg yn gynllun, nid yn reolaeth.

Penderfynwch beth sy’n digwydd i lifau sy’n bodoli’n barod pan fydd y polisi’n newid, oherwydd gall sesiwn a agorwyd cyn y newid barhau ar ôl hynny. Os oes rhaid i aelod sy’n gadael golli mynediad ar unwaith, mae ar y set reolau angen ffordd i derfynu’r cyflwr hwnnw yn hytrach na disgwyl i’r cysylltiad gau ar ei ben ei hun.

Parhewch y rheolau drwy’r mecanwaith sy’n berchen ar weddill y mur tân, a chofnodwch y matrics wrth eu hymyl. Mae polisi heb ei gofnodi yn cael ei ail-ddynnu o gof yn ystod y digwyddiad nesaf, fel arfer gan rywun ar frys.

Profwch ef o’r ddau ochr

Profwch gyrhaeddiad o fewn yr un grŵp, methiant ar draws grwpiau a’r gwasanaeth a rennir o un cleient ym mhob grŵp. Mae un prawf o un cleient yn profi hanner y matrics, a’r hanner y mae’n ei adael allan fel arfer yw’r un sy’n anghywir. Ailadroddwch y cyfeiriad gwarafun ddwywaith, oherwydd gall sesiwn wedi’i chacheio guddio camgymeriad gorfodi. Cofnodwch pa bâr a brofwyd gennych fel na fydd y person nesaf yn ei ailadrodd.

Ailadroddwch y gwiriad ar IPv6 os yw’r tiwnel yn ei gario, a chadwch ddilysiad arferol y cymhwysiad yn ei le. Nid yw rhagddodiad ffynhonnell yn gyfrif, felly nid yw pasio’r polisi rhwydwaith yn golygu y dylai gwasanaeth ymddiried yn y galwr.