Kaksi asiakasryhmää, yksi palvelin: missä käytäntöä valvotaan

Kahden asiakasryhmän sijoittaminen eri aliverkkoihin näyttää eristämiseltä, eikä ole sitä. Osoitteet kuvaavat, mistä paketti näyttää tulevan, kun taas lupa on päätös, jonka tekee se, mikä sen välittää eteenpäin. Tähän kysymykseen vastaa kokoonpano eikä peite, joten päättäkää, mikä komponentti välittää vertaisliikennettä, ennen kuin kirjoitatte yhtäkään sääntöä.

Aliverkko on nimilappu, ei sääntö

Yhden altaan jakaminen ryhmää kohden antaa luettavat osoitteet eikä mitään muuta. Asiakas, joka hyväksyy lisäreitin, on saanut saavutettavuuden, eikä saavutettavuus ole valtuutus. Lupa puhua on edelleenlähetyspäätöksessä, joka voi elää taustapalvelussa tai ytimessä riippuen siitä, miten palvelin on määritetty.

Osoitteen omistus tekee etuliitteestä käyttökelpoisen ryhmän valitsimena. Jokaisen todennetun identiteetin on vastattava ennustettavaa osoitetta tai aluetta, ja tämä kartoitus epäonnistuu heti, kun useat laitteet jakavat yhden tunnistetiedon ja yhden määrityksen. Ratkaise identiteetti ja samanaikaisuus ennen kuin luotat lähde-etuliitteeseen, koska käytäntö, joka arvaa, mikä kone soittaa, valtuuttaa väärän pahimmalla hetkellä.

Valitse polku, joka kuljettaa vertaisliikennettä

Kun taustapalvelu välittää vertaisten paketteja oman prosessinsa sisällä, ne paketit eivät koskaan saavuta isännän edelleenlähetyskoukkua, joten ytimen sääntö ei voi nähdä niitä. Poista tämä sisäinen edelleenlähetys käytöstä, ja ytimestä tulee edelleenlähetyspiste, jossa tavalliset edelleenlähetyssäännöt pätevät.

# peer forwarding inside the daemon: enforce with per-group policy instead of FORWARD rules
client-to-client
# kernel forwarding path: remove the line above, then filter in the forward chain

Puretut datakanavat ja tuotteen hallitsemat palvelimet julkaisevat omat valvontamallinsa, joten vahvistakaa, mitä niistä ajatte, sen sijaan että olettaisitte yhteisön käyttäytymisen. Vika, joka kannattaa välttää, on sääntö, joka näyttää katselmoinnissa oikealta eikä koskaan tule kysytyksi ajonaikana.

Kirjoita matriisi ennen sääntöjä

Lyhyt matriisi on helpompi katselmoida kuin sääntöjoukko, ja se on sopimus, joka toteutuksen on täytettävä: saman ryhmän vertaiset sallitaan, ryhmien väliset vertaiset kielletään, molemmat ryhmät sallitaan yhteen nimettyyn jaettuun palveluun, kaikki muu kielletään. Kirjoittakaa ne neljä riviä ennen kuin avaatte palomuurieditorin. Katselmoija, joka ei lue sääntöjen syntaksia, voi silti tarkistaa matriisin. Sitten toteutuksen on vain vastattava rivejä.

Pitäkää kolme kohdeluokkaa erillään kirjoittaessanne. VPN-isännän palvelu on paikallinen syöte, toinen asiakas on vertaisten läpikulku ja yhdyskäytävän takana oleva kone on eri edelleenlähetyspolku. Yksi antelias sääntö voi vahingossa myöntää kaikki kolme, ja niin ryhmäkäytännöstä tulee litteä verkko lisäaskelilla. Kirjoittakaa luokka jokaisen rivin viereen, jotta aikomus säilyy seuraavaan muokkaukseen.

Sijoita säännöt sinne, missä ne säilyvät

Lisätkää päätökset samaan paikkaan, jossa muuta palomuuria ylläpidetään, ennen mitään sallivaa sääntöä, joka muuten nielisi ne. Sääntöjen järjestys on osa käytäntöä, eikä laajan hyväksynnän jälkeen sijoitettu oikea sääntö valvo mitään. Merkitkää sääntöjen numerot ennen muutosta ja sen jälkeen. Käytäntö, joka on olemassa editorissa mutta ei käynnissä olevassa sääntöjoukossa, on suunnitelma, ei valvonta.

Päättäkää, mitä tapahtuu jo olemassa oleville virtauksille, kun käytäntö muuttuu, koska ennen muutosta avattu istunto voi jatkua sen jälkeen. Jos lähtevän jäsenen on menetettävä pääsy heti, sääntöjoukko tarvitsee tavan lopettaa se tila sen sijaan, että odotettaisiin yhteyden sulkeutuvan itsestään.

Tehkää säännöistä pysyviä mekanismilla, joka omistaa muun palomuurin, ja tallentakaa matriisi niiden viereen. Kirjaamaton käytäntö johdetaan uudelleen muistista seuraavan tapauksen aikana, yleensä kiireisen henkilön toimesta.

Todista se molemmilta puolilta

Testatkaa saavutettavuus saman ryhmän sisällä, epäonnistuminen ryhmien välillä ja jaettu palvelu yhdestä asiakkaasta kussakin ryhmässä. Yksi testi yhdestä asiakkaasta todistaa puolet matriisista, ja pois jäävä puoli on yleensä väärä. Toistakaa kieltosuunta kahdesti, koska välimuistiin tallennettu istunto voi piilottaa valvontavirheen. Tallentakaa, minkä parin testasitte, jotta seuraava henkilö ei toista sitä.

Toistakaa tarkistus IPv6:lla, jos tunneli kuljettaa sitä, ja pitäkää tavallinen sovellusten todennus paikallaan. Lähde-etuliite ei ole tili, joten verkkokäytännön läpäiseminen ei tarkoita, että palvelun pitäisi luottaa soittajaan.