Kaks kliendigruppi, üks server: kus poliitikat jõustada

Kahe kliendigrupi paigutamine erinevatesse alamvõrkudesse näib isolatsioonina, kuid ei ole seda. Aadressid kirjeldavad, kust pakett näiliselt tuleb, samas kui luba on otsus, mille teeb see, mis seda edastab. Sellele küsimusele vastab konfiguratsioon, mitte mask, seega otsustage, milline komponent edastab võrdsete liiklust, enne kui kirjutate ükskõik millise reegli.

Alamvõrk on silt, mitte reegel

Ühe basseini määramine grupi kohta annab loetavad aadressid ja mitte midagi muud. Klient, kes aktsepteerib lisamarsruudi, on saanud kättesaadavuse, ja kättesaadavus ei ole volitus. Lubadus rääkida asub edastusotsuses, mis võib elada deemonis või kernelis sõltuvalt sellest, kuidas server on konfigureeritud.

Aadressi omand on see, mis teeb prefiksi grupivalijana kasutatavaks. Iga autenditud identiteet peab vastama ettearvatavale aadressile või vahemikule, ja see vastendamine ebaõnnestub niipea, kui mitu seadet jagavad ühte mandaati ja üht määramist. Lahendage identiteet ja paralleelsus enne, kui toetute lähteprefiksile, sest poliitika, mis arvab, milline masin helistab, volitab halvimal hetkel vale masina.

Valige tee, mis kannab võrdsete liiklust

Kui deemon edastab võrdsete pakette oma protsessi sees, ei jõua need paketid kunagi hosti edastuskonksuni, seega kerneli reegel ei saa neid näha. Lülitage see sisemine edastus välja ja kernelist saab edastuspunkt, kus kehtivad tavalised edastusreeglid.

# peer forwarding inside the daemon: enforce with per-group policy instead of FORWARD rules
client-to-client
# kernel forwarding path: remove the line above, then filter in the forward chain

Mahalaaditud andmekanalid ja toote hallatavad serverid avaldavad oma jõustamismudelid, seega kinnitage, millist neist kasutate, selle asemel et eeldada kogukonna käitumist. Väärtuslik vältida on tõrge, kus reegel näeb ülevaatusel õige välja ja seda ei küsita kunagi tööajal.

Kirjutage maatriks enne reeglite kirjutamist

Lühike maatriks on kergem üle vaadata kui reeglistik, ja see on leping, mida teostus peab täitma: sama grupi võrdsed lubatud, gruppidevahelised võrdsed keelatud, mõlemad grupid lubatud ühe nimetatud jagatud teenuseni, kõik muu keelatud. Kirjutage need neli rida üles enne tulemüüri redaktori avamist. Ülevaataja, kes ei loe reeglite süntaksit, saab maatriksit siiski kontrollida. Seejärel peab teostus lihtsalt ridadega sobima.

Hoidke kolme sihtklassi kirjutamise ajal lahus. Teenus VPN-hostis on kohalik sisend, teine klient on võrdsete transiit, ja lüüsi taga olev masin on erinev edastustee. Üks helde reegel võib kogemata anda kõik kolm, ja nii muutub grupipoliitika lamedaks võrguks lisasammudega. Kirjutage klass iga rea kõrvale, et kavatsus järgmise redaktsiooni üle elaks.

Pange reeglid sinna, kus need püsivad

Lisage otsused samasse kohta, kus hooldatakse ülejäänud tulemüüri, enne mis tahes lubavat reeglit, mis need muidu alla neelaks. Reeglite järjekord on poliitika osa, ja laia lubamise järel paiknev õige reegel ei jõusta midagi. Märkige reeglite numbrid enne ja pärast muudatust. Poliitika, mis on redaktoris, kuid mitte jooksvas reeglistikus, on plaan, mitte kontroll.

Otsustage, mis juhtub juba olemasolevate voogudega, kui poliitika muutub, sest enne muudatust avatud sessioon võib pärast seda edasi töötada. Kui lahkuv liige peab kohe juurdepääsu kaotama, vajab reeglistik viisi selle oleku lõpetamiseks, selle asemel et oodata ühenduse iseenesest sulgumist.

Tehke reeglid püsivaks mehhanismi kaudu, mis omab ülejäänud tulemüüri, ja kirjutage maatriks nende kõrvale. Registreerimata poliitika tuletatakse järgmise juhtumi ajal mälust uuesti, tavaliselt kellegi poolt, kellel on kiire.

Tõestage seda mõlemalt poolt

Testige kättesaadavust sama grupi sees, ebaõnnestumist gruppide vahel ja jagatud teenust ühest kliendist igas grupis. Üks test ühest kliendist tõestab poole maatriksist, ja pool, mille see välja jätab, on tavaliselt vale. Korrake keelamissuunda kaks korda, sest vahemällu salvestatud sessioon võib jõustamisvea peita. Märkige, millist paari testisite, et järgmine inimene ei kordaks seda.

Korrake kontrolli IPv6 peal, kui tunnel seda kannab, ja hoidke tavaline rakenduste autentimine paigas. Lähteprefiks ei ole konto, seega võrgupoliitika läbimine ei tähenda, et teenus peaks helistajat usaldama.