Statikaj tunelaj adresoj en pfSense: prefero aŭ rezervo?

Du dezajnoj aspektas similaj surpapere kaj kondutas tre malsame kiam regulo dependas de ili. Unu tajpas adreson en klientan anstataŭigon kaj fidas la adreson kiel identecon. La alia tute fermas la dinamikan akceptadon, do finpunkto aŭ havas unikan asignon aŭ ne konektiĝas. Nur la dua igas adreson defendebla politika enigo, kaj la diferencon indas kompreni antaŭ ol skribi eĉ unu fajroŝirma regulo.

Kion anstataŭiga adreso vere promesas

Klient-specifa anstataŭigo portas agordojn por ĉiu kliento, inkluzive preferatan tunelan adreson. Netgate priskribas tiun adreson kiel preferon kaj ne kiel rezervon, kio signifas ke la dinamika provizo ne cedas la adreson al iu ajn alia.

Tio kutime estas en ordo. Kolizio estas malofta, kaj la kliento kutime ricevas tion, kion ĝi petis, kio sufiĉas por komforto kaj ne sufiĉas por rajtigo. Komforto kaj rajtigo estas malsamaj postuloj, kaj nur unu el ili postvivas kolizion.

Ĉe subreta topologio, la kampo prenas la klientan adreson kune kun la masko de la servila reto, do adreso ene de tunelo 10.90.0.0/24 estas skribata kiel 10.90.0.10/24.

Nenio el tio rezervas la numeron. Kliento kies anstataŭigo ne kongruas, aŭ duobla sesio, povas finiĝi aliloke en la provizo, kaj regulo bazita sur la adreso tiam priskribas iun, kiu ne estas tie.

Fermu la dinamikan vojon per limiga defaŭlto

La alternativo estas nur-stataka servilo: ĉiu akceptita finpunkto havas sian propran identecon kaj sian propran unikan adreson, kaj nenio alia eniras.

Ĝin efektivigi signifas anstataŭigon DEFAULT limigitan al tiu unu servilo kun konekta blokado ŝaltita. Kliento sen kongrua anstataŭigo tiam ne povas refali al ordinara dinamika akceptado. Ĝuste tiu unu linio igas preferon fermita aro.

La amplekso gravas. Defaŭlta anstataŭigo aplikita al ĉiu VPN-kazo en la aparato ŝlosos ne rilatajn tunelojn, kaj tiu paneo aspektas kiel rompita servo anstataŭ politika decido. Ligu ĝin al la unu servilo, kies akceptan modelon vi ŝanĝas. Poste notu la amplekson en la ŝanĝprotokolo, ĉar la sekva persono ne memoros al kiu tunelo ĝi apartenas.

Poste revizuu la tutan permesitan aron. La defaŭlta blokado ne riparas nomitan anstataŭigon lasitan sen adreso, kaj tiu finpunkto simple malsukcesos konektiĝi sen klara indiko kial.

Kongruu kun la identeco, kiun la servilo vere uzas

Anstataŭigo kongruas kun io. Sur servilo, kiu kongruas komunajn nomojn de atestiloj, la nomo de la anstataŭigo devas esti tiu komuna nomo, ne la montrata nomo de la persono. Kopiu ĝin el la atestilo anstataŭ el la kontolisto.

Servilo agordita uzi la uzantnomon kiel komuna nomo kongruas per tute alia ŝlosilo, kaj anstataŭigo nomita laŭ la atestilo neniam aktivigos. Legu la agordon anstataŭ dedukti ĝin el tio, kion montras la kontolisto.

Konservu la pliajn aŭtentigajn faktorojn, kiujn la deplojo postulas. Fermita adresa modelo ŝanĝas, kiu rajtas konektiĝi kaj kiun adreson ĝi ricevas; ĝi ne anstataŭas la atestilan kontrolon aŭ la duan faktoron.

Skribu la alirajn regulojn, kiam la mapo estas solida

Post kiam la mapo de identeco al adreso estas fermita, reguloj povas referenci adresojn sen ŝajnigi, ke ili estas homoj. Aliaso grupiganta la finpunktojn de unu persono povas atingi specifan servon, dum alia aliaso atingas ion alian. La aliaso fariĝas la revisebla objekto, kaj la adreso fariĝas efektiviga detalo ene de ĝi.

Tenu celojn kaj havenojn eksplicitaj. Permesi la tutan lokan reton el la tuta tunela provizo estas ĝuste la dezajno, kiun ĉi tiu ekzerco devis anstataŭi.

Legu flosantajn, grupajn kaj interfacajn regulojn laŭ ilia reala taksordo, ĉar pli frua larĝa trapaso nuligas pli postan mallarĝan. Malŝalti internan plusendadon inter klientoj tenas la trafikon inter egaluloj ĉe la limo, kie tiuj reguloj reviziiĝas. Regulo, kiu ekzistas nur surpapere, ne estas plenumado.

Testu la negativajn kazojn

Provu kvar novajn konektojn: nomitan finpunkton, unu tute sen anstataŭigo, servon, kiu devus esti atingebla, kaj unu, kiu ne devus. La nelistigita finpunkto estas la grava kazo, ĉar ĝi estas tiu, kiun la dezajno ekzistas por haltigi. Se ĝi konektiĝas, la defaŭlta blokado ne faras sian laboron.

Kontrolu IPv6 aparte, ĉar IPv4-adresa politiko diras nenion pri dua stako. Poste konfirmu, ke la aplikaĵo ankoraŭ rajtigas la uzanton, ĉar tunela adreso estas reta fakto, ne pruvo pri tio, kiu sidas ĉe la klavaro. Ambaŭ kontroloj apartenas al la akcepta noto.

Fine, planu la migradon. Novaj anstataŭigoj kaj mallarĝaj reguloj ne ŝanĝas retroaktive jam establitajn sesiojn, do ekzistantaj statoj devas eksvalidiĝi aŭ esti intence forviŝitaj.