Cleientiaid VPN a'r LAN: pryd i ddefnyddio parth ar wahân

Gosod y rhyngwyneb twnd yn y parth LAN yw'r ffordd fyrraf at VPN sy'n gweithio, ac fel arfer dyma'r dewis diofyn anghywir. Mae'n rhoi'r un ymddiriedaeth i'r cleient o bell ag sydd gan y LAN gwifrau, ac anaml y mae'r dasg yn gofyn am hynny. Mae parth ar wahân yn costio ychydig reolau ac yn gwneud y ffin yn weladwy. Nid yw'r penderfyniad ynghylch a yw parthoedd yn well; y peth yw pa dri amod sy'n berthnasol i'ch rhwydwaith.

Nid yw enw'r parth yn amgryptio unrhyw beth nac yn dilysu defnyddiwr. Dim ond grwpio rhyngwynebau y mae ar gyfer model polisi'r mur gwarchod.

Beth mae aelodaeth parth yn ei reoli mewn gwirionedd

Mae parth yn grwpio rhyngwynebau neu draffig o dan fodel y mur gwarchod. Yna mae ei osodiadau mewnbwn, allbwn ac anfon ymlaen yn llywodraethu gwahanol rolau. Mewnbwn yw traffig i'r llwybrydd ei hun; anfon ymlaen yw traffig trwyddo i westeiwr arall. Mae dogfennaeth parthoedd OpenWrt yn trin mewnbwn, allbwn ac anfon ymlaen fel gosodiadau ar wahân am yr union reswm hwn.

Nid yw caniatâd o barth VPN i barth LAN yn golygu caniatâd gwrthdro yn awtomatig. Mae rheolau anfon ymlaen yn gyfeiriadol, ac nid yw rheol sy'n caniatáu traffig cleient-i-weinydd yn caniatáu sesiynau gweinydd-i-gleient. Nid yw cleient sy'n gallu agor cysylltiad i weinydd yn gleient y gall y gweinydd agor cysylltiad yn ôl iddo.

Y gwahaniaeth hwnnw yw'r rheswm mae parth ar wahân yn ddefnyddiol: gallwch nodi pob cyfeiriad a phob rôl yn eglur. Ysgrifennwch y cyfeiriad wrth bob rheol.

Penderfyniad un: mewnbwn, anfon ymlaen, neu'r ddau

Os oes ar gleientiaid o bell angen DNS gan y llwybrydd, caniatéwch fewnbwn ar gyfer y gwasanaeth hwnnw yn unig. Os oes angen iddynt gyrraedd gweinydd ffeiliau, caniatéwch anfon ymlaen i'r cyrchfan honno. Mae'r rhan fwyaf o ddyluniadau VPN angen y ddau, ond ar gyfer gwasanaethau gwahanol.

Anaml iawn y mae angen mynediad mewnbwn eang i bob gwasanaeth lleol. Triniwch reolaeth y llwybrydd fel penderfyniad ar wahân i fynediad at gymwysiadau. Os mai dim ond ateb DNS sydd ei angen ar y llwybrydd, ysgrifennwch y caniatâd sengl hwnnw a gadewch y gweddill ar gau.

Penderfyniad dau: pa adnoddau sydd eu hangen ar gleientiaid o bell

Rhedwch restr o ystodau'r cleientiaid, y cyrchfannau a'r gwasanaethau y dylai'r VPN eu darparu cyn ysgrifennu rheolau. Mae rhestr cyrchfannau yn fwy defnyddiol na label ymddiriedaeth, oherwydd y mae'n goroesi mudo'r mur gwarchod.

Cadwch ryngwynebau rheoli ar wahân i fynediad arferol at gymwysiadau. Nid oes angen tudalen weinyddol y llwybrydd na chonsol y hypervisor ar gleient o bell sy'n gallu cyrraedd wici, oherwydd hynny.

Os gall cyrchfan a ganiateir anfon ymlaen ymhellach, y mae ffin y parth yn stopio wrth y mur gwarchod, nid wrth yr hyn y mae'r gyrchfan yn ei wneud nesaf.

Penderfyniad tri: sut y byddwch yn profi'r ffin

Profwch lif a ganiateir ac un a wrthodir yn fwriadol ar ôl pob newid. Nid yw profi bod un wefan yn llwytho yn datgelu caniatâd eang anfwriadol. Profwch o ystod cyfeiriadau'r cleient VPN, nid o'r LAN, a chynhwyswch y cyfeiriad rydych yn disgwyl iddo fethu. Cofnodwch y ddau ganlyniad wrth y rheol.

Cadwch fynediad adfer y porth cyn i chi newid polisi'r parth o bell. Defnyddiwch y ffurfweddiad rheoledig parhaus yn hytrach na golygiadau amser rhedeg, neu bydd yr ailgychwyn nesaf yn adfer yr hen ymddiriedaeth. Copia o'r ffurfweddiad blaenorol, wedi'i storio oddi ar y ddyfais, yw'r adferiad rhataf a gewch chi erioed.

Wrth i'r rhwydwaith dyfu, dogfennwch aelodaeth a phwrpas rheolau. Ni ddylai rhyngwyneb sydd newydd ei gysylltu etifeddu breintiau dim ond oherwydd bod rhywun wedi rhoi enw parth cyfleus iddo.