Στατικές διευθύνσεις τούνελ στο pfSense: προτίμηση ή δέσμευση;

Δύο σχέδια μοιάζουν στα χαρτιά και συμπεριφέρονται πολύ διαφορετικά όταν ένας κανόνας εξαρτάται από αυτά. Το ένα πληκτρολογεί μια διεύθυνση σε μια παράκαμψη πελάτη και εμπιστεύεται τη διεύθυνση ως ταυτότητα. Το άλλο κλείνει εντελώς τη δυναμική εισαγωγή, ώστε ένα άκρο είτε έχει μοναδική ανάθεση είτε δεν συνδέεται. Μόνο το δεύτερο μετατρέπει μια διεύθυνση σε στοιχείο πολιτικής που μπορείτε να υπερασπιστείτε, και η διαφορά αξίζει να κατανοηθεί πριν γράψετε έστω έναν κανόνα τείχους προστασίας.

Τι υπόσχεται πραγματικά μια διεύθυνση παράκαμψης

Μια παράκαμψη ειδική για τον πελάτη φέρει επιλογές ανά πελάτη, μεταξύ των οποίων μια προτιμώμενη διεύθυνση τούνελ. Η Netgate περιγράφει αυτή τη διεύθυνση ως προτίμηση και όχι ως δέσμευση, που σημαίνει ότι η δυναμική δεξαμενή δεν παραχωρεί τη διεύθυνση σε κανέναν άλλο.

Αυτό συνήθως είναι εντάξει. Μια σύγκρουση είναι σπάνια, και ο πελάτης συνήθως λαμβάνει αυτό που ζήτησε, το οποίο αρκεί για άνεση και δεν αρκεί για εξουσιοδότηση. Άνεση και εξουσιοδότηση είναι διαφορετικές απαιτήσεις, και μόνο μία από τις δύο επιβιώνει από μια σύγκρουση.

Με τοπολογία υποδικτύου, το πεδίο παίρνει τη διεύθυνση του πελάτη μαζί με τη μάσκα του δικτύου του διακομιστή, οπότε μια διεύθυνση μέσα σε ένα τούνελ 10.90.0.0/24 γράφεται ως 10.90.0.10/24.

Τίποτα από αυτά δεν δεσμεύει τον αριθμό. Ένας πελάτης του οποίου η παράκαμψη δεν ταιριάζει, ή μια διπλή συνεδρία, μπορεί να καταλήξει αλλού στη δεξαμενή, και ένας κανόνας βασισμένος στη διεύθυνση περιγράφει τότε κάποιον που δεν είναι εκεί.

Κλείστε τη δυναμική διαδρομή με ένα περιορισμένο προεπιλεγμένο

Η εναλλακτική είναι ένας διακομιστής μόνο στατικών διευθύνσεων: κάθε εισαγόμενο άκρο έχει τη δική του ταυτότητα και τη δική του μοναδική διεύθυνση, και τίποτα άλλο δεν μπαίνει.

Η υλοποίηση σημαίνει μια παράκαμψη DEFAULT περιορισμένη σε αυτόν τον έναν διακομιστή με ενεργοποιημένο τον αποκλεισμό συνδέσεων. Ένας πελάτης χωρίς αντίστοιχη παράκαμψη δεν μπορεί τότε να επιστρέψει στη συνήθη δυναμική εισαγωγή. Αυτή η μία γραμμή είναι που μετατρέπει μια προτίμηση σε κλειστό σύνολο.

Το εύρος έχει σημασία. Μια προεπιλεγμένη παράκαμψη που εφαρμόζεται σε κάθε παρουσία VPN στη συσκευή θα αποκλείσει άσχετα τούνελ, και αυτή η αποτυχία μοιάζει με χαλασμένη υπηρεσία και όχι με απόφαση πολιτικής. Δέστε την στον έναν διακομιστή του οποίου το μοντέλο εισαγωγής αλλάζετε. Στη συνέχεια σημειώστε το εύρος στο αρχείο αλλαγών, γιατί ο επόμενος άνθρωπος δεν θα θυμάται σε ποιο τούνελ ανήκει.

Ελέγξτε μετά ολόκληρο το επιτρεπόμενο σύνολο. Ο προεπιλεγμένος αποκλεισμός δεν διορθώνει μια ονομαστική παράκαμψη που έμεινε χωρίς διεύθυνση, και αυτό το άκρο απλώς θα αποτύχει να συνδεθεί χωρίς προφανή υπόδειξη για τον λόγο.

Αντιστοιχίστε με την ταυτότητα που χρησιμοποιεί πραγματικά ο διακομιστής

Μια παράκαμψη αντιστοιχεί σε κάτι. Σε έναν διακομιστή που αντιστοιχεί κοινά ονόματα πιστοποιητικών, το όνομα της παράκαμψης πρέπει να είναι αυτό το κοινό όνομα, όχι το εμφανιζόμενο όνομα του προσώπου. Αντιγράψτε το από το πιστοποιητικό και όχι από τη λίστα λογαριασμών.

Ένας διακομιστής ρυθμισμένος να χρησιμοποιεί το όνομα χρήστη ως κοινό όνομα αντιστοιχεί σε εντελώς διαφορετικό κλειδί, και μια παράκαμψη ονομασμένη κατά το πιστοποιητικό δεν θα ενεργοποιηθεί ποτέ. Διαβάστε τη ρύθμιση αντί να τη συμπεράνετε από ό,τι δείχνει η λίστα λογαριασμών.

Διατηρήστε τους πρόσθετους παράγοντες ελέγχου ταυτότητας που απαιτεί η ανάπτυξη. Ένα κλειστό μοντέλο διευθύνσεων αλλάζει ποιος μπορεί να συνδεθεί και ποια διεύθυνση λαμβάνει· δεν αντικαθιστά τον έλεγχο πιστοποιητικού ή τον δεύτερο παράγοντα.

Γράψτε τους κανόνες πρόσβασης αφού ο χάρτης είναι σωστός

Μόλις ο χάρτης από ταυτότητα σε διεύθυνση κλείσει, οι κανόνες μπορούν να αναφέρονται σε διευθύνσεις χωρίς να προσποιούνται ότι είναι πρόσωπα. Ένα ψευδώνυμο που ομαδοποιεί τα άκρα ενός προσώπου μπορεί να φτάσει μια συγκεκριμένη υπηρεσία, ενώ ένα άλλο ψευδώνυμο φτάνει κάτι άλλο. Το ψευδώνυμο γίνεται το αναθεωρήσιμο αντικείμενο, και η διεύθυνση γίνεται λεπτομέρεια υλοποίησης μέσα του.

Κρατήστε τους προορισμούς και τις θύρες ρητούς. Το να επιτρέπεται ολόκληρο το τοπικό δίκτυο από ολόκληρη τη δεξαμενή τούνελ είναι ακριβώς το σχέδιο που αυτή η άσκηση έπρεπε να αντικαταστήσει.

Διαβάστε τους κανόνες floating, ομάδας και διεπαφής με την πραγματική σειρά αξιολόγησής τους, γιατί ένα προγενέστερο ευρύ πέρασμα ακυρώνει ένα μεταγενέστερο στενό. Η απενεργοποίηση της εσωτερικής προώθησης μεταξύ πελατών κρατά την κίνηση μεταξύ ομοτίμων στο όριο όπου εξετάζονται αυτοί οι κανόνες. Ένας κανόνας που υπάρχει μόνο στα χαρτιά δεν είναι επιβολή.

Δοκιμάστε τις αρνητικές περιπτώσεις

Δοκιμάστε τέσσερις νέες συνδέσεις: ένα ονομαστικό άκρο, ένα χωρίς καμία παράκαμψη, μια υπηρεσία που θα έπρεπε να είναι προσβάσιμη και μια που δεν θα έπρεπε. Το μη καταγεγραμμένο άκρο είναι η σημαντική περίπτωση, γιατί είναι αυτό που το σχέδιο υπάρχει για να σταματήσει. Αν συνδεθεί, ο προεπιλεγμένος αποκλεισμός δεν κάνει τη δουλειά του.

Ελέγξτε το IPv6 ξεχωριστά, αφού μια πολιτική διευθύνσεων IPv4 δεν λέει τίποτα για μια δεύτερη στοίβα. Στη συνέχεια επιβεβαιώστε ότι η εφαρμογή εξακολουθεί να εξουσιοδοτεί τον χρήστη, γιατί μια διεύθυνση τούνελ είναι γεγονός δικτύου και όχι απόδειξη ποιος είναι στο πληκτρολόγιο. Και οι δύο έλεγχοι ανήκουν στο σημείωμα αποδοχής.

Τέλος, σχεδιάστε τη μετανάστευση. Οι νέες παρακάμψεις και οι στενοί κανόνες δεν αλλάζουν αναδρομικά συνεδρίες που έχουν ήδη καθιερωθεί, οπότε οι υπάρχουσες καταστάσεις πρέπει να λήξουν ή να εκκαθαριστούν σκόπιμα.