Πελάτες VPN και το LAN: πότε χρειάζεται ξεχωριστή ζώνη

Η τοποθέτηση της διεπαφής σήραγγας στη ζώνη του LAN είναι η συντομότερη διαδρομή προς ένα VPN που λειτουργεί, και συνήθως είναι η λάθος προεπιλογή. Δίνει στον απομακρυσμένο πελάτη την ίδια εμπιστοσύνη που έχει το ενσύρματο LAN, κάτι που η εργασία σπάνια απαιτεί. Μια ξεχωριστή ζώνη κοστίζει λίγους κανόνες και κάνει το όριο ορατό. Η απόφαση δεν είναι αν οι ζώνες είναι καλύτερες· είναι ποιες τρεις συνθήκες ισχύουν για το δίκτυό σας.

Το όνομα της ζώνης δεν κρυπτογραφεί τίποτα και δεν ταυτοποιεί χρήστη. Απλώς ομαδοποιεί διεπαφές για το μοντέλο πολιτικής του τείχους προστασίας.

Τι ελέγχει πραγματικά η συμμετοχή σε ζώνη

Μια ζώνη ομαδοποιεί διεπαφές ή κίνηση στο μοντέλο του τείχους προστασίας. Οι ρυθμίσεις εισόδου, εξόδου και προώθησης διέπουν στη συνέχεια διαφορετικούς ρόλους. Η είσοδος είναι κίνηση προς τον ίδιο τον δρομολογητή· η προώθηση είναι κίνηση μέσω αυτού προς άλλον υπολογιστή. Η τεκμηρίωση του OpenWrt για τις ζώνες αντιμετωπίζει είσοδο, έξοδο και προώθηση ως ξεχωριστές ρυθμίσεις ακριβώς για αυτόν τον λόγο.

Μια άδεια από τη ζώνη VPN προς τη ζώνη LAN δεν είναι αυτόματα άδεια προς την αντίστροφη κατεύθυνση. Οι κανόνες προώθησης έχουν κατεύθυνση, και ένας κανόνας που επιτρέπει κίνηση από πελάτη προς διακομιστή δεν επιτρέπει συνεδρίες από διακομιστή προς πελάτη. Ένας πελάτης που μπορεί να ανοίξει σύνδεση προς διακομιστή δεν είναι πελάτης προς τον οποίο ο διακομιστής μπορεί να ανοίξει σύνδεση επιστροφής.

Αυτή η διάκριση είναι ο λόγος που μια ξεχωριστή ζώνη είναι χρήσιμη· μπορείτε να δηλώσετε ρητά κάθε κατεύθυνση και κάθε ρόλο. Γράψτε την κατεύθυνση δίπλα σε κάθε κανόνα.

Απόφαση πρώτη: είσοδος, προώθηση ή και τα δύο

Αν οι απομακρυσμένοι πελάτες χρειάζονται DNS από τον δρομολογητή, επιτρέψτε είσοδο μόνο για αυτή την υπηρεσία. Αν πρέπει να φτάσουν σε διακομιστή αρχείων, επιτρέψτε προώθηση προς αυτόν τον προορισμό. Τα περισσότερα σχέδια VPN χρειάζονται και τα δύο, αλλά για διαφορετικές υπηρεσίες.

Η ευρεία πρόσβαση εισόδου σε κάθε τοπική υπηρεσία σχεδόν ποτέ δεν απαιτείται. Αντιμετωπίστε τη διαχείριση του δρομολογητή ως ξεχωριστή απόφαση από την πρόσβαση σε εφαρμογές. Αν ο δρομολογητής χρειάζεται μόνο να απαντά σε DNS, γράψτε αυτή τη μοναδική άδεια και αφήστε τα υπόλοιπα κλειστά.

Απόφαση δεύτερη: ποιους πόρους χρειάζονται οι απομακρυσμένοι πελάτες

Καταγράψτε τις περιοχές πελατών, τους προορισμούς και τις υπηρεσίες που πρέπει να παρέχει το VPN πριν γράψετε κανόνες. Μια λίστα προορισμών είναι πιο χρήσιμη από μια ετικέτα εμπιστοσύνης, γιατί επιβιώνει από μια μετανάστευση του τείχους προστασίας.

Κρατήστε τις διεπαφές διαχείρισης χωριστά από τη συνηθισμένη πρόσβαση εφαρμογών. Ένας απομακρυσμένος πελάτης που φτάνει σε ένα wiki δεν χρειάζεται γι' αυτό τη σελίδα διαχείρισης του δρομολογητή ούτε την κονσόλα του hypervisor.

Αν ένας επιτρεπόμενος προορισμός μπορεί να προωθήσει περαιτέρω, το όριο της ζώνης σταματά στο τείχος προστασίας, όχι σε ό,τι κάνει ο προορισμός μετά.

Απόφαση τρίτη: πώς θα αποδείξετε το όριο

Δοκιμάστε μια επιτρεπόμενη ροή και μία σκόπιμα απορριπτόμενη μετά από κάθε αλλαγή. Το να αποδείξετε ότι φορτώνει ένας ιστότοπος δεν αποκαλύπτει μια ακούσια ευρεία άδεια. Δοκιμάστε από το εύρος διευθύνσεων του πελάτη VPN, όχι από το LAN, και συμπεριλάβετε την κατεύθυνση που περιμένετε να αποτύχει. Καταγράψτε και τα δύο αποτελέσματα δίπλα στον κανόνα.

Διατηρήστε την πρόσβαση ανάκτησης της πύλης πριν τροποποιήσετε την πολιτική της απομακρυσμένης ζώνης. Χρησιμοποιήστε τη μόνιμη διαχειριζόμενη διαμόρφωση αντί για αλλαγές κατά την εκτέλεση, αλλιώς η επόμενη επανεκκίνηση θα επαναφέρει την παλιά εμπιστοσύνη. Ένα αντίγραφο της προηγούμενης διαμόρφωσης, αποθηκευμένο εκτός της συσκευής, είναι η φθηνότερη επαναφορά που θα έχετε ποτέ.

Όταν το δίκτυο μεγαλώνει, τεκμηριώστε τη συμμετοχή και τον σκοπό των κανόνων. Μια νέα συνδεδεμένη διεπαφή δεν πρέπει να κληρονομεί προνόμια μόνο επειδή κάποιος της έδωσε ένα βολικό όνομα ζώνης.