Staatilised tunneliaadressid pfSenses: eelistus või reservatsioon?

Kaks lahendust näevad paberil sarnased välja ja käituvad väga erinevalt, kui reegel neist sõltub. Üks sisestab aadressi kliendi ülekirjutusse ja usaldab aadressi identiteedina. Teine sulgeb dünaamilise vastuvõtu täielikult, nii et lõpp-punktil on kas kordumatu määramine või see ei ühendu. Ainult teine muudab aadressi kaitstavaks poliitikasisendiks, ja erinevust tasub mõista enne ühegi tulemüürireegli kirjutamist.

Mida ülekirjutusaadress tegelikult lubab

Kliendipõhine ülekirjutus kannab valikuid kliendi kohta, sealhulgas eelistatud tunneliaadressi. Netgate kirjeldab seda aadressi eelistusena, mitte reservatsioonina, mis tähendab, et dünaamiline kogum ei loovuta aadressi kellelegi teisele.

See on tavaliselt korras. Kokkupõrge on haruldane ja klient saab tavaliselt selle, mida küsis, millest piisab mugavuseks ja ei piisa autoriseerimiseks. Mugavus ja autoriseerimine on erinevad nõuded ning kokkupõrke järel jääb ellu ainult üks neist.

Alamvõrgu topoloogia korral võtab väli kliendi aadressi koos serverivõrgu maskiga, seega tunnelis 10.90.0.0/24 olev aadress kirjutatakse kujul 10.90.0.10/24.

Miski sellest ei reserveeri numbrit. Klient, kelle ülekirjutus ei sobi, või dubleeritud seanss võib sattuda mujale kogumisse, ja aadressile toetuv reegel kirjeldab siis kedagi, keda seal pole.

Sulgege dünaamiline tee piiratud vaikeväärtusega

Alternatiiv on ainult staatiline server: igal lubatud lõpp-punktil on oma identiteet ja oma kordumatu aadress ning midagi muud sisse ei pääse.

Selle juurutamine tähendab DEFAULT-ülekirjutust, mis on piiratud selle ühe serveriga ja millel on ühenduste blokeerimine lubatud. Sobiva ülekirjutuseta kliendil ei ole siis võimalik naasta tavapärase dünaamilise vastuvõtu juurde. Just see üks rida muudab eelistuse suletud hulgaks.

Ulatus loeb. Iga seadme VPN-eksemplari jaoks rakendatav vaikeülekirjutus lukustab kõrvalised tunnelid ja see tõrge näeb välja nagu katkine teenus, mitte poliitikaotsus. Siduge see selle ühe serveriga, mille vastuvõtumudelit muudate. Seejärel märkige ulatus muudatuste logisse, sest järgmine inimene ei mäleta, millisesse tunnelisse see kuulub.

Seejärel auditeerige kogu lubatud hulk. Vaikeblokeering ei paranda nimega ülekirjutust, mis jäeti aadressita, ja see lõpp-punkt lihtsalt ei ühendu ilma selge vihjeta põhjuse kohta.

Sobitage identiteediga, mida server tegelikult kasutab

Ülekirjutus sobib millegagi. Serveris, mis sobitab sertifikaatide üldnimesid, peab ülekirjutuse nimi olema see üldnimi, mitte inimese kuvatav nimi. Kopeerige see sertifikaadist, mitte kontode loendist.

Server, mis on seadistatud kasutama kasutajanime üldnimena, sobitab hoopis teise võtmega, ja sertifikaadi järgi nimetatud ülekirjutus ei rakendu kunagi. Lugege seadistust, selle asemel et tuletada seda sellest, mida kontode loend näitab.

Säilitage juurutuse nõutavad täiendavad autentimistegurid. Suletud aadressimudel muudab seda, kes tohib ühenduda ja millise aadressi saab; see ei asenda sertifikaadi kontrolli ega teist tegurit.

Kirjutage juurdepääsureeglid siis, kui kaart on kindel

Kui identiteedi ja aadressi kaart on suletud, saavad reeglid aadresse viidata ilma teeskluseta, et need on inimesed. Ühe inimese lõpp-punkte rühmitav alias võib jõuda konkreetse teenuseni, samal ajal kui teine alias jõuab millegi muuni. Aliastest saab ülevaatlik objekt ja aadressist selle sisemine juurutuse detail.

Hoidke sihtkohad ja pordid selged. Kogu kohaliku võrgu lubamine kogu tunnelikogumist on täpselt see lahendus, mille see harjutus pidi asendama.

Lugege hõljuvaid, rühma- ja liidesereegleid nende tegelikus hindamisjärjestuses, sest varasem lai läbipääs tühistab hilisema kitsa. Kliendilt kliendile sisemise edastuse väljalülitamine hoiab võrdsete liikluse piiril, kus neid reegleid üle vaadatakse. Reegel, mis on olemas ainult paberil, ei ole täitmine.

Testige negatiivseid juhtumeid

Proovige nelja uut ühendust: nimega lõpp-punkt, selline ilma igasuguse ülekirjutuseta, teenus, mis peaks olema kättesaadav, ja selline, mis ei peaks. Loendis puuduv lõpp-punkt on oluline juhtum, sest just see on see, mille peatamiseks lahendus loodud on. Kui see ühendub, ei tee vaikeblokeering oma tööd.

Kontrollige IPv6 eraldi, sest IPv4 aadressipoliitika ei ütle teise virna kohta midagi. Seejärel kinnitage, et rakendus autoriseerib endiselt kasutajat, sest tunneliaadress on võrgu tõsiasi, mitte tõestus sellest, kes klaviatuuri taga on. Mõlemad kontrollid kuuluvad vastuvõtumärkusse.

Lõpuks planeerige migratsioon. Uued ülekirjutused ja kitsad reeglid ei muuda juba loodud seansse tagasiulatuvalt, seega olemasolevad olekud peavad aeguma või tuleb need sihilikult kustutada.