Bi bezero-talde, zerbitzari bat: non ezarri politika

Bi bezero-talde azpisare desberdinetan jartzeak isolamendua dirudi, eta ez da. Helbideek paketea nondik datorren itxuraz deskribatzen dute, baimena berriz birbidaltzen duenak hartzen duen erabakia da. Galdera horri konfigurazioak erantzuten dio, ez maskarak, beraz erabaki zein osagaik birbidaltzen duen pareen trafikoa edozein arau idatzi aurretik.

Azpisarea etiketa da, ez araua

Taldeko igerileku bat esleitzeak helbide irakurgarriak ematen dizkizu eta besterik ez. Bide gehigarri bat onartzen duen bezeroak irisgarritasuna irabazi du, eta irisgarritasuna ez da baimena. Hitz egiteko baimena birbidalketa-erabakian dago, eta hori daemonen edo nukleoan bizi daiteke zerbitzaria nola konfiguratuta dagoen arabera.

Helbidearen jabetzak egiten du aurrizkia talde-hautatzaile gisa erabilgarri. Autentifikatutako identitate bakoitzak helbide edo tarte aurreikusteko batera mapatu behar du, eta mapaketa horrek huts egiten du hainbat gailuk kredentzial bat eta esleipen bat partekatzen dutenean. Konpondu identitatea eta konkurrentzia iturri-aurrizkian fidatu aurretik, zeren zein makinak deitzen duen asmatzen duen politikak okerra baimentzen baitu une okerrenean.

Aukeratu pareen trafikoa daraman bidea

Daemonak pareen paketeak bere prozesuaren barruan birbidaltzen dituenean, pakete horiek ez dira inoiz ostalariaren birbidalketa-kakora iristen, beraz nukleoko arau batek ezin ditu ikusi. Desgaitu barne-birbidalketa hori eta nukleoa birbidalketa-puntu bihurtzen da, non ohiko birbidalketa-arauak aplikatzen diren.

# peer forwarding inside the daemon: enforce with per-group policy instead of FORWARD rules
client-to-client
# kernel forwarding path: remove the line above, then filter in the forward chain

Deskargatutako datu-kanalek eta produktuak kudeatutako zerbitzariek beren ezartze-ereduak argitaratzen dituzte, beraz egiaztatu zein exekutatzen ari zaren komunitatearen portaera suposatu beharrean. Saihesteko merezi duen hutsegitea berrikuspenean zuzena dirudien eta exekuzio-denboran inoiz kontsultatzen ez den araua da.

Idatzi matrizea arauak idatzi aurretik

Matrize laburra erregela-multzo bat baino errazago berrikusten da, eta inplementazioak bete behar duen kontratua da: talde bereko pareak baimenduta, taldeen arteko pareak ukatuta, bi taldeak zerbitzu partekatu izendatu batera baimenduta, beste guztia ukatuta. Idatzi lau lerro horiek suebaki-editore bat ireki aurretik. Erregelen sintaxia irakurtzen ez duen berrikusle batek matrizea egiazta dezake oraindik. Orduan inplementazioak lerrekin bat etorri besterik ez du.

Eduki hiru helburu-klaseak bereizita idazten duzun bitartean. VPN ostalarian dagoen zerbitzua tokiko sarrera da, beste bezero bat pareen trantsitua da, eta atebidearen atzeko makina beste birbidalketa-bide bat da. Arau eskuzabal batek hirurak nahaigabe eman ditzake, eta horrela talde-politika urrats gehigarridun sare laua bihurtzen da. Idatzi klasea ilara bakoitzaren ondoan, asmoa hurrengo edizioan bizirik iraun dezan.

Jarri arauak bizirik irauten duten tokian

Gehitu erabakiak suebakiaren gainerakoa mantentzen den lekuan bertan, bestela irentsiko lituzkeen baimen-arauen aurretik. Arauen ordena politikaren parte da, eta onarpen zabal baten ondoren jarritako arau zuzenak ez du ezer ezartzen. Idatzi arauen zenbakiak aldaketaren aurretik eta ondoren. Editore batean baina exekutatzen ari den arau-multzoan ez dagoen politika plan bat da, ez kontrola.

Erabaki zer gertatzen zaien lehendik dauden fluxuei politikak aldatzen direnean, aldaketaren aurretik irekitako saio batek aurrera egin baitezake. Irten den kide batek berehala galdu behar badu sarbidea, arau-multzoak egoera hori amaitzeko modua behar du, konexioa bere kabuz itxiko zain egon beharrean.

Iraunarazi arauak suebakiaren gainerakoaren jabe den mekanismoaren bidez, eta erregistratu matrizea haien ondoan. Erregistratu gabeko politika memoriarik berriz eratortzen da hurrengo gertaeran, normalean presaka dabilen norbaitek.

Frogatu bi aldeetatik

Probatu talde bereko irisgarritasuna, taldeen arteko hutsegitea eta zerbitzu partekatua talde bakoitzeko bezero batekin. Bezero bakar baten proba bakarrak matrizearen erdia frogatzen du, eta kanpoan uzten duen erdia okerra izaten da normalean. Errepikatu ukatze-norabidea bi aldiz, saio katxeatuak ezartze-hutsegitea ezkuta baitezake. Erregistratu zein pare probatu duzun hurrengo pertsonak errepika ez dezan.

Errepikatu egiaztapena IPv6n tunelak eramaten badu, eta mantendu aplikazioen autentifikazio arrunta. Iturri-aurrizkia ez da kontu bat, beraz sare-politika pasatzeak ez du esan nahi zerbitzu batek deitzaileari fidatu behar dionik.