Rhowch i ddefnyddwyr VPN fynediad at un gwasanaeth, nid at yr is-rwydwaith

Mae angen un ap gwe mewnol ar gontractwr a dim byd arall, a'r ateb hawdd yw rhoi twnnel i is-rwydwaith y gweinydd iddynt. Mae hynny'n gweithio hyd y diwrnod y byddant yn ei sganio. Mae'r dyluniad culach yn gofyn mwy o feddwl, oherwydd y mae cyrraedd, llwybro a chaniatâd yr ap yn dri rheolaeth ar wahân sy'n gorfod cytuno.

Ysgrifennwch y gofyniad fel gwasanaeth, nid fel is-rwydwaith

Dechreuwch gyda'r gwesteiwr cyrchfan, y protocol a'r porth, yna ychwanegwch y grŵp defnyddwyr neu ddyfeisiau a ddylai gyrraedd. Cynhwyswch y parth DNS preifat dim ond os yw'r ap yn datrys enw, a chynhwyswch ddarparwr hunaniaeth dim ond os oes ei angen ar y broses fewngofnodi. Mae popeth arall yn ddibyniaeth nad ydych wedi'i chyfiawnhau eto.

Manylyn gweithredu gan y tîm rhwydwaith yw is-rwydwaith, tra bod gwasanaeth yn yr hyn y gofynnodd y busnes amdano ac yn yr uned y gellir ei hadolygu a'i hymddeol.

Os yw'r rhestr ddibyniaeth yn tyfu tu hwnt i dri eitem, mae'n debygol bod angen sgwrs ddylunio ei hun ar yr ap.

Llwybrwch yn gul, ond gorfodwch yn rhywle arall

Mae llwybr neu ddetholydd cul yn dweud wrth y twnnel pa becynnau i'w cludo; nid yw'n bolisi awdurdodi. Yr hidlydd porth, wal dân y gwesteiwr cyrchfan a model caniatâd yr ap ei hun yw'r lleoedd lle mae mynediad yn cael ei benderfynu. Mae llwybr sy'n cynnwys un cyfeiriad yn ddechrau da, ac nid yw'n y rheolaeth sy'n atal defnyddiwr penderfynol. Y gwahanu hwnnw sy'n eich galluogi i newid yr hidlydd heb ailddylunio'r twnnel.

I'r gwrthwyneb, gall llwybr llydan gyda hidlydd llym fod yn gyfreithlon, ond dim ond os yw pawb sy'n ymwneud yn gwybod pa un sy'n gorfodi.

Dogfennwch y pwynt gorfodi'n benodol, neu bydd y newid nesaf yn ei symud ar ddamwain.

Gwiriwch y ffynhonnell y mae'r gwasanaeth yn ei gweld mewn gwirionedd

Mae'r targed yn gweld naill ai cyfeiriad pwll y cleient neu gyfeiriad y porth, yn dibynnu a ydych yn cyfieithu. Rhaid i reolau wal dân y gwesteiwr a'r logiau gyfateb i'r ffynhonnell wirioneddol. Os yw sawl defnyddiwr yn rhannu ffynhonnell gyfieithiedig, ni all unrhyw reol fesul defnyddiwr ar y gwesteiwr hwnnw eu gwahaniaethu, a chyfyngiad dylunio yw hynny, nid byg.

Dewiswch gyfieithu'n fwriadol: mae'n symleiddio llwybro ac yn dinistrio hunaniaeth y ffynhonnell, sy'n bwysig ar gyfer archwilio ac ar gyfer rheolau fesul defnyddiwr.

Nodwch pa un o'r ddau a ddewiswyd gennych, wrth ymyl y rheol sy'n dibynnu arno.

Nid yw awdurdodi'r ap yn ddewisol

Nid yw cyrraedd porth yn rhoi rôl. Mae ar yr ap o hyd angen ei fewngofnodi a'i ganiatadau ei hun, oherwydd ni all y haen rhwydwaith fynegi pa gofnodion y caiff defnyddiwr eu golygu. Mae gwasanaeth sy'n ymddiried ym mhob cais o'r is-rwydwaith fewnol yn troi twnnel cul yn fynediad llawn i un credyd sydd wedi'i gyfaddawdu. Y twnnel sy'n penderfynu pwy gaiff agor y soced, a'r ap sy'n penderfynu beth y cânt ei wneud ag ef.

Dyma lle mae'r dyluniad cul yn talu ddwywaith, oherwydd mae llai o westeiwyr y gellir eu cyrraedd yn golygu llai o leoedd lle gellir manteisio ar gamgymeriad ar lefel ap.

Cadwch y rheol rwydwaith a rôl yr ap mewn systemau ar wahân, a'u hymddeol ar wahân.

Profwch y llwybr a ganiateir a'r llwybr a wrthodir

Cysylltwch fel y defnyddiwr awdurdodedig a chyflawnwch un weithred gynrychioliadol ddiniwed, yna rhowch gynnig ar gyrchfan y dylid bod yn anghyrraeddadwy. Nid yw dyluniad sy'n profi dim ond yr hanner cyntaf wedi'i brofi, a'r prawf a wrthodir sy'n profi'r dyluniad. Profwch sesiwn newydd ar ôl pob newid rheol, ac edrychwch ar y llwybr dychwelyd os yw ceisiadau'n cyrraedd ond nad yw atebion yn.

Peidiwch â diffodd hidlwyr anfon er mwyn i'r prawf derbyn basio, oherwydd mae hynny'n newid y peth sy'n cael ei brofi.

Pan nad oes ar y defnyddiwr angen y gwasanaeth mwyach, ymddeolwch yr hunaniaeth bell a rôl yr ap yn eu systemau priodol, a chofnodwch y ddau. Canllaw anfon strongSwan sy'n ymdrin ag ochr y porth o'r llwybr.