نشانی‌های ثابت تونل در pfSense: ترجیح یا رزرو؟
یک بازنویسی مشتری نشانی ترجیحی می‌دهد، نه نشانی رزروشده. آن را با سروری بسته که فقط به‌صورت ثابت کار می‌کند و با آنچه باید پیش از اعتماد قواعد به آن برقرار باشد مقایسه کنید.
دو طرح روی کاغذ شبیه به هم به نظر می‌رسند و وقتی قاعده‌ای به آن‌ها وابسته باشد بسیار متفاوت رفتار می‌کنند. یکی نشانی را در بازنویسی مشتری می‌نویسد و به نشانی به‌عنوان هویت اعتماد می‌کند. دیگری پذیرش پویا را کاملاً می‌بندد، پس یک نقطه پایانی یا تخصیص یکتا دارد یا متصل نمی‌شود. تنها دومی نشانی را به ورودی سیاستی تبدیل می‌کند که می‌توانید از آن دفاع کنید، و ارزش دارد تفاوت را پیش از نوشتن حتی یک قاعده دیوار آتش بفهمید.
نشانی بازنویسی در واقع چه چیزی وعده می‌دهد
بازنویسی مخصوص مشتری گزینه‌هایی برای هر مشتری دارد، از جمله نشانی تونل ترجیحی. Netgate آن نشانی را ترجیح می‌داند نه رزرو، یعنی استخر پویا نشانی را برای کس دیگری واگذار نمی‌کند.
این معمولاً اشکالی ندارد. برخورد نادر است، و مشتری معمولاً آنچه خواسته را می‌گیرد، که برای راحتی کافی است و برای مجوزدهی کافی نیست. راحتی و مجوزدهی دو نیاز متفاوت‌اند، و فقط یکی از آن‌ها از یک برخورد جان سالم به در می‌برد.
با توپولوژی زیرشبکه، فیلد نشانی مشتری را همراه با ماسک شبکه سرور می‌گیرد، بنابراین نشانی داخل تونل 10.90.0.0/24 به‌صورت 10.90.0.10/24 نوشته می‌شود.
هیچ‌کدام از این‌ها شماره را رزرو نمی‌کند. مشتری‌ای که بازنویسی‌اش مطابقت ندارد، یا نشست تکراری، ممکن است جای دیگری از استخر بیفتد، و قاعده‌ای که بر نشانی تکیه دارد آن‌گاه کسی را توصیف می‌کند که آنجا نیست.
مسیر پویا را با یک پیش‌فرض محدوده‌دار ببندید
جایگزین، سروری است که فقط به‌صورت ثابت کار می‌کند: هر نقطه پایانی پذیرفته‌شده هویت خودش و نشانی یکتای خودش را دارد، و چیز دیگری وارد نمی‌شود.
پیاده‌سازی آن یعنی یک بازنویسی DEFAULT محدود به همان یک سرور با مسدودسازی اتصال فعال. آن‌گاه مشتری بدون بازنویسی مطابق نمی‌تواند به پذیرش پویای معمول بازگردد. همان یک خط است که ترجیح را به یک مجموعه بسته تبدیل می‌کند.
محدوده مهم است. بازنویسی پیش‌فرضی که روی هر نمونه VPN روی دستگاه اعمال شود تونل‌های بی‌ربط را قفل می‌کند، و آن خرابی شبیه سرویس خراب است نه تصمیم سیاستی. آن را به همان یک سروری ببندید که مدل پذیرشش را تغییر می‌دهید. سپس محدوده را در گزارش تغییرات یادداشت کنید، زیرا نفر بعدی به یاد نخواهد آورد که به کدام تونل تعلق دارد.
پس از آن کل مجموعه مجاز را بازرسی کنید. مسدودسازی پیش‌فرض بازنویسی نام‌داری را که بدون نشانی مانده درست نمی‌کند، و آن نقطه پایانی به‌سادگی بدون سرنخ آشکاری از دلیل، متصل نخواهد شد.
با هویتی تطبیق دهید که سرور واقعاً استفاده می‌کند
بازنویسی با چیزی تطبیق می‌یابد. روی سروری که نام‌های مشترک گواهی‌ها را تطبیق می‌دهد، نام بازنویسی باید همان نام مشترک باشد، نه نام نمایشی شخص. آن را از گواهی کپی کنید نه از فهرست حساب‌ها.
سروری که برای استفاده از نام کاربری به‌عنوان نام مشترک پیکربندی شده با کلید کاملاً دیگری تطبیق می‌دهد، و بازنویسی‌ای که به نام گواهی نام‌گذاری شده هرگز فعال نمی‌شود. تنظیم را بخوانید به‌جای اینکه آن را از آنچه فهرست حساب‌ها نشان می‌دهد استنباط کنید.
عوامل احراز هویت اضافی را که استقرار می‌طلبد نگه دارید. مدل نشانی بسته تغییر می‌دهد چه کسی می‌تواند متصل شود و چه نشانی می‌گیرد؛ جای بررسی گواهی یا عامل دوم را نمی‌گیرد.
قواعد دسترسی را پس از درست شدن نقشه بنویسید
وقتی نقشه هویت به نشانی بسته شد، قواعد می‌توانند به نشانی‌ها ارجاع دهند بدون اینکه آن‌ها را اشخاص جا بزنند. یک نام مستعار که نقاط پایانی یک شخص را گروه‌بندی می‌کند می‌تواند به سرویس مشخصی برسد در حالی که نام مستعار دیگری به چیز دیگری می‌رسد. نام مستعار شیء قابل بازبینی می‌شود، و نشانی جزئیات پیاده‌سازی درون آن می‌شود.
مقصدها و درگاه‌ها را صریح نگه دارید. مجاز دانستن کل شبکه محلی از کل استخر تونل‌ها دقیقاً همان طرحی است که این تمرین باید جایگزینش می‌کرد.
قواعد شناور، گروهی و رابط را به ترتیب ارزیابی واقعی‌شان بخوانید، زیرا یک گذر گسترده پیشین یک گذر باریک پسین را باطل می‌کند. خاموش کردن ارسال داخلی میان مشتریان ترافیک همتا را در مرزی نگه می‌دارد که آن قواعد بازبینی می‌شوند. قاعده‌ای که فقط روی کاغذ وجود دارد اجرا نیست.
موارد منفی را آزمایش کنید
چهار اتصال تازه را بیازمایید: یک نقطه پایانی نام‌دار، یکی بدون هیچ بازنویسی، سرویسی که باید در دسترس باشد و سرویسی که نباید. نقطه پایانی فهرست‌نشده مورد مهم است، چون همان چیزی است که طرح برای متوقف کردنش وجود دارد. اگر متصل شود، مسدودسازی پیش‌فرض کارش را انجام نمی‌دهد.
IPv6 را جداگانه بررسی کنید، چون سیاست نشانی IPv4 چیزی درباره پشته دوم نمی‌گوید. سپس تأیید کنید که برنامه همچنان کاربر را مجاز می‌داند، چون نشانی تونل یک واقعیت شبکه است نه مدرکی بر اینکه چه کسی پشت صفحه‌کلید است. هر دو بررسی به یادداشت پذیرش تعلق دارند.
سرانجام، مهاجرت را برنامه‌ریزی کنید. بازنویسی‌های جدید و قواعد باریک نشست‌های از قبل برقرارشده را به‌صورت گذشته‌نگر تغییر نمی‌دهند، پس وضعیت‌های موجود باید منقضی شوند یا آگاهانه پاک شوند.