pfSense-ko tunel helbide estatikoak: lehentasuna edo erreserba?
Bezeroaren gainidazteak nahiago den helbide bat ematen du, ez erreserbatutako bat. Konparatu itzazu zerbitzari soilik estatiko itxi batekin eta arauek harekin fidatu aurretik bete behar denarekin.
Bi diseinuk antzeko itxura dute paperean eta oso modu desberdinean jokatzen dute arau bat haien mende dagoenean. Batek helbidea bezeroaren gainidaztean idazten du eta helbideari identitate gisa fidatzen zaio. Besteak onarpen dinamikoa erabat ixten du, beraz mutur batek esleipen bakarra du edo ez da konektatzen. Bigarrenak bakarrik bihurtzen du helbidea defenda dezakezun politika-sarrera, eta aldea ulertzea merezi du suebaki-arau bat idatzi aurretik.
Zer agintzen du benetan gainidazte-helbide batek
Bezeroaren berariazko gainidazteak bezero bakoitzeko aukerak daramatza, besteak beste tunel helbide hobetsi bat. Netgate-k helbide hori lehentasun gisa deskribatzen du, ez erreserba gisa, hau da, igerileku dinamikoak ez dio helbidea beste inori uzten.
Hori normalean ondo dago. Talka arraroa da, eta bezeroak normalean eskatu zuena jasotzen du, erosotasunerako nahikoa eta baimenerako nahikoa ez dena. Erosotasuna eta baimena baldintza desberdinak dira, eta horietako batek bakarrik irauten du talka batetik.
Azpisare-topologiarekin, eremuak bezeroaren helbidea hartzen du zerbitzariaren sarearen maskararekin batera, beraz 10.90.0.0/24 tunel baten barruko helbidea 10.90.0.10/24 gisa idazten da.
Horietako ezerk ez du zenbakia erreserbatzen. Gainidaztea bat ez datorren bezeroa, edo saio bikoiztu bat, igerilekuko beste nonbait buka daiteke, eta helbidean oinarritutako arauak orduan han ez dagoen norbait deskribatzen du.
Itxi bide dinamikoa mugatutako lehenespen batekin
Alternatiba zerbitzari soilik estatiko bat da: onartutako mutur bakoitzak bere identitatea eta bere helbide bakarra ditu, eta beste ezer ez da sartzen.
Hori ezartzeak DEFAULT gainidazte bat esan nahi du, zerbitzari horretara soilik mugatua eta konexio-blokeoa gaituta. Bat datorren gainidazterik ez duen bezeroak ezin du orduan ohiko onarpen dinamikora itzuli. Lerro bakar horrek bihurtzen du lehentasuna multzo itxi.
Irismena garrantzitsua da. Gailuko VPN instantzia bakoitzari aplikatutako lehenespen-gainidazte batek erlazionik gabeko tunelak blokeatuko ditu, eta hutsegite hori zerbitzu hautsia dirudi, ez politika-erabakia. Lotu onarpen-eredua aldatzen ari zaren zerbitzari bakarrari. Gero idatzi irismena aldaketa-erregistroan, hurrengo pertsonak ez baitu gogoratuko zein tuneli dagokion.
Ondoren ikuskatu baimendutako multzo osoa. Lehenespen-blokeoak ez du helbiderik gabe utzitako gainidazte izendatu bat konpontzen, eta mutur hori ez da konektatuko arrazoiaren arrasto argirik gabe.
Bat etorri zerbitzariak benetan erabiltzen duen identitatearekin
Gainidazte bat zerbaiti dagokio. Ziurtagirien izen komunak alderatzen dituen zerbitzari batean, gainidaztearen izenak izen komun hori izan behar du, ez pertsonaren bistaratze-izena. Kopiatu ziurtagiritik, ez kontu-zerrendatik.
Erabiltzaile-izena izen komun gisa erabiltzeko konfiguratutako zerbitzari batek erabat bestelako gako batekin alderatzen du, eta ziurtagiriaren izenarekin jarritako gainidazteak ez du inoiz piztuko. Irakurri ezarpena, ez ondorioztatu kontu-zerrendak erakusten duenetik.
Mantendu hedapenak eskatzen dituen autentifikazio-faktore gehigarriak. Helbide-eredu itxiak aldatzen du nork konekta dezakeen eta zein helbide jasotzen duen; ez du ziurtagiriaren egiaztapena edo bigarren faktorea ordezkatzen.
Idatzi sarbide-arauak mapa sendoa denean
Identitatetik helbiderako mapa itxi ondoren, arauek helbideak aipatu ditzakete pertsona direla itxuratu gabe. Pertsona baten muturrak elkartzen dituen alias batek zerbitzu zehatz batera irits daiteke, beste alias bat beste zerbaitetara iristen den bitartean. Aliasa berrikus daitekeen objektua bihurtzen da, eta helbidea haren barneko ezarpen-xehetasuna.
Eduki helmugak eta portuak esplizitu. Tunel igerileku osotik sare lokal osoa baimentzea ariketa honek ordezkatu behar zuen diseinua da.
Irakurri floating, talde eta interfaze-arauak beren ebaluazio-ordenan, lehenago egindako pasabide zabal batek geroagoko estu bat ezabatzen baitu. Bezeroen arteko barne-birbidalketa itzaltzeak pareko trafikoa arau horiek berrikusten diren mugan mantentzen du. Paperean soilik dagoen araua ez da betearaztea.
Probatu kasu negatiboak
Saiatu lau konexio berri: mutur izendatu bat, gainidazterik gabeko bat, irisgarri izan beharko lukeen zerbitzu bat eta izan beharko ez lukeena. Zerrendan ez dagoen muturra kasu garrantzitsua da, diseinua hura gelditzeko baitago. Konektatzen bada, lehenespen-blokeoak ez du bere lana egiten.
Egiaztatu IPv6 bereizita, IPv4 helbide-politikak ez baitu ezer esaten bigarren pila bati buruz. Gero baieztatu aplikazioak oraindik erabiltzailea baimentzen duela, tunel helbidea sare-faktua baita, eta ez teklatuan nor dagoen froga. Bi egiaztapenak onarpen-oharrean sartzen dira.
Azkenik, planifikatu migrazioa. Gainidazte berriek eta arau estuek ez dituzte jada ezarritako saioak atzeraeraginez aldatzen, beraz lehendik dauden egoerak iraungi edo nahita garbitu behar dira.