VPN-kliendid ja LAN: millal kasutada eraldi tsooni

Tunneli liidese LAN-i tsooni panemine on lühim tee töötava VPN-ini ja tavaliselt vale vaikevalik. See annab kaugkliendile sama usalduse, mis on kaabel-LAN-il, mida ülesanne harva nõuab. Eraldi tsoon maksab paar reeglit ja teeb piiri nähtavaks. Otsus ei ole, kas tsoonid on paremad; otsus on, millised kolm tingimust kehtivad sinu võrgus.

Tsooni nimi ei krüpteeri midagi ega autenti kasutajat. See lihtsalt rühmitab liideseid tulemüüri reeglimudeli jaoks.

Mida tsoonikuuluvus tegelikult juhib

Tsoon rühmitab liideseid või liiklust tulemüüri mudelis. Selle sisend-, väljund- ja edastusseaded juhivad seejärel erinevaid rolle. Sisend on liiklus ruuteri enda poole; edastamine on liiklus selle kaudu teise hostini. OpenWrt tsoonidokumentatsioon käsitleb sisendit, väljundit ja edastamist eraldi seadetena just sel põhjusel.

Luba VPN-tsoonist LAN-i tsooni ei ole automaatselt vastupidine luba. Edastusreeglid on suunalised ja reegel, mis lubab liiklust kliendilt serverile, ei luba sessioone serverilt kliendile. Klient, kes saab serveriga ühenduse avada, ei ole klient, kelle poole server saab ühenduse tagasi avada.

See erinevus on põhjus, miks eraldi tsoon on kasulik: saad iga suuna ja iga rolli selgesõnaliselt välja öelda. Kirjuta suund iga reegli kõrvale.

Otsus üks: sisend, edastamine või mõlemad

Kui kaugkliendid vajavad ruuterilt DNS-i, luba sisend ainult selle teenuse jaoks. Kui nad peavad jõudma failiserverini, luba edastamine selle sihtkoha suunas. Enamik VPN-i lahendusi vajab mõlemat, kuid erinevate teenuste jaoks.

Lai sisendjuurdepääs kõigile kohalikele teenustele on peaaegu kunagi vajalik. Käsitle ruuteri haldamist eraldi otsusena rakenduste juurdepääsust. Kui ruuter peab ainult DNS-ile vastama, kirjuta see üks luba ja jäta ülejäänu suletuks.

Otsus kaks: milliseid ressursse kaugkliendid vajavad

Loetle kliendivahemikud, sihtkohad ja teenused, mida VPN peaks pakkuma, enne reeglite kirjutamist. Sihtkohtade loend on kasulikum kui usaldussilt, sest see elab üle tulemüüri migratsiooni.

Hoia haldusliidesed tavalise rakenduste juurdepääsu jaoks eraldi. Kaugklient, kes pääseb vikini, ei vaja seetõttu ruuteri halduslehte ega hüperviisori konsooli.

Kui lubatud sihtkoht saab edasi edastada, lõpeb tsooni piir tulemüüril, mitte sellel, mida sihtkoht edasi teeb.

Otsus kolm: kuidas tõestad piiri

Testi iga muudatuse järel lubatud voogu ja üht meelega keelatud voogu. Tõestus, et üks veebileht laeb, ei paljasta soovimatut laia luba. Testi VPN-kliendi aadressivahemikust, mitte LAN-ist, ja lisa suund, mille puhul eeldad ebaõnnestumist. Kirjuta mõlemad tulemused reegli kõrvale.

Enne kaugtsooni poliitika muutmist säilita lüüsi taastamisjuurdepääs. Kasuta püsivat haldatud konfiguratsiooni, mitte tööaegseid muudatusi, muidu taastab järgmine taaskäivitus vana usalduse. Eelmise konfiguratsiooni koopia, seadmest väljas hoiustatud, on odavaim tagasipööramine, mis sul kunagi tuleb.

Kui võrk kasvab, dokumenteeri kuuluvus ja reeglite eesmärk. Värskelt ühendatud liides ei tohiks pärida privileege ainult sellepärast, et keegi andis sellele mugava tsooninime.