VPN-asiakkaat ja lähiverkko: milloin erillinen vyöhyke kannattaa

Tunneliliitännäisen sijoittaminen lähiverkkovyöhykkeeseen on lyhin tie toimivaan VPN:ään, ja se on yleensä väärä oletus. Se antaa etäasiakkaalle saman luottamuksen kuin kaapelilähiverkolla on, mitä tehtävä harvoin vaatii. Erillinen vyöhyke maksaa muutaman säännön ja tekee rajasta näkyvän. Päätös ei ole siitä, ovatko vyöhykkeet parempia; vaan siitä, mitkä kolme ehtoa pätevät verkossasi.

Vyöhykkeen nimi ei salaa mitään eikä todista käyttäjää. Se vain ryhmittelee liitännäiset palomuurin käytäntömallia varten.

Mitä vyöhykkeeseen kuuluminen todella ohjaa

Vyöhyke ryhmittelee liitännäiset tai liikenteen palomuurin mallissa. Sen syöte-, lähtö- ja välitysasetukset ohjaavat sitten eri rooleja. Syöte on liikennettä reitittimeen itseensä; välitys on liikennettä sen kautta toiselle isännälle. OpenWrt:n vyöhykedokumentaatio käsittelee syötettä, lähtöä ja välitystä erillisinä asetuksina juuri tästä syystä.

Lupa VPN-vyöhykkeeltä lähiverkkovyöhykkeelle ei ole automaattisesti käänteinen lupa. Välityssäännöt ovat suunnattuja, eikä sääntö, joka sallii liikenteen asiakkaalta palvelimelle, salli istuntoja palvelimelta asiakkaalle. Asiakas, joka voi avata yhteyden palvelimelle, ei ole asiakas, jolle palvelin voi avata yhteyden takaisin.

Tämä ero on syy siihen, miksi erillinen vyöhyke on hyödyllinen: voit ilmaista jokaisen suunnan ja jokaisen roolin selvästi. Kirjoita suunta jokaisen säännön viereen.

Päätös yksi: syöte, välitys vai molemmat

Jos etäasiakkaat tarvitsevat reitittimeltä DNS:ää, salli syöte vain sille palvelulle. Jos heidän on päästävä tiedostopalvelimelle, salli välitys siihen kohteeseen. Useimmat VPN-ratkaisut tarvitsevat molempia, mutta eri palveluille.

Laaja syötepääsy kaikkiin paikallisiin palveluihin ei ole lähes koskaan tarpeen. Käsittele reitittimen hallintaa erillisenä päätöksenä sovelluspääsystä. Jos reitittimen tarvitsee vain vastata DNS:ään, kirjoita se yksi lupa ja jätä muu kiinni.

Päätös kaksi: mitä resursseja etäasiakkaat tarvitsevat

Luettele asiakasalueet, kohteet ja palvelut, jotka VPN:n pitäisi tarjota, ennen kuin kirjoitat sääntöjä. Kohdeluettelo on hyödyllisempi kuin luottamusmerkintä, koska se kestää palomuurin siirron.

Pidä hallintaliitännäiset erillään tavallisesta sovelluspääsystä. Etäasiakas, joka pääsee wikiin, ei siksi tarvitse reitittimen hallintasivua tai hypervisor-konsolia.

Jos sallittu kohde voi välittää eteenpäin, vyöhykkeen raja päättyy palomuuriin, ei siihen, mitä kohde tekee seuraavaksi.

Päätös kolme: miten todistat rajan

Testaa jokaisen muutoksen jälkeen sallittu virtaus ja yksi tarkoituksella estetty. Todistus siitä, että yksi sivusto latautuu, ei paljasta tahatonta laajaa lupaa. Testaa VPN-asiakkaan osoitealueelta, älä lähiverkosta, ja sisällytä suunta, jonka odotat epäonnistuvan. Kirjaa molemmat tulokset säännön viereen.

Säilytä yhdyskäytävän palautumispääsy ennen etävyöhykkeen käytännön muuttamista. Käytä pysyvää hallittua kokoonpanoa ajonaikaisten muutosten sijaan, muuten seuraava uudelleenkäynnistys palauttaa vanhan luottamuksen. Kopio edellisestä kokoonpanosta laitteen ulkopuolella on halvin palautus, jonka koskaan saat.

Kun verkko kasvaa, dokumentoi kuuluminen ja sääntöjen tarkoitus. Äskettäin liitetyn liitännäisen ei pitäisi periä oikeuksia vain siksi, että joku antoi sille kätevän vyöhykkeen nimen.