Statyske tunneladressen yn pfSense: foarkar as reservearring?

Twa ûntwerpen sjogge op papier gelyk út en hâlde har hiel oars, as in regel fan har ôfhinget. De iene typt in adres yn in kliïnt-oerskriuwing en fertrout it adres as identiteit. De oare slút de dynamyske talitting folslein, sadat in einpunt of in unike tawizing hat of net ferbynt. Allinnich de twadde makket fan in adres in beliedsynput dat jo ferdigenje kinne, en it ferskil is wurdich te begripen foardat jo ien inkele fjoermuorre-regel skriuwe.

Wat in oerskriuwingsadres echt ûnthjit

In kliïntspesifike oerskriuwing draacht opsjes per kliïnt, wêrûnder in foarkarstunneladres. Netgate beskreaut dat adres as foarkar en net as reservearring, wat betsjut dat de dynamyske pool it adres net oan immen oars jout.

Dat is meastentiids goed. In botsing is seldsum, en de kliïnt krijt normaal wat er frege hat, wat genôch is foar gemak en net genôch foar autorisaasje. Gemak en autorisaasje binne ferskillende easken, en mar ien fan beide oerlibbet in botsing.

Mei subnet-topology nimt it fjild it kliïntadres tegearre mei it masker fan it tsjinner-netwurk, sadat in adres binnen in 10.90.0.0/24-tunnel skreaun wurdt as 10.90.0.10/24.

Neat dêrfan reservearret it nûmer. In kliïnt waans oerskriuwing net past, of in dûbele sesje, kin earne oars yn 'e pool bedarje, en in regel basearre op it adres beskriuwt dan immen dy't dêr net is.

Slút it dynamyske paad mei in beheinde standert

It alternatyf is in allinne statyske tsjinner: elk talitten einpunt hat syn eigen identiteit en syn eigen unike adres, en neat oars komt der yn.

It ymplemintearjen betsjut in DEFAULT-oerskriuwing beheind ta dy iene tsjinner mei ferbiningsblokkearring oan. In kliïnt sûnder passende oerskriuwing kin dan net weromfalle op gewoane dynamyske talitting. Krekt dy iene rigel makket fan in foarkar in sletten set.

De omfang is wichtich. In standert-oerskriuwing tapast op elke VPN-ynstânsje op it apparaat sil net-relatearre tunnels bûtenslute, en dy flater liket as in brutsen tsjinst ynstee fan in beliedsbeslút. Byn it oan de iene tsjinner waans talittingsmodel jo feroarje. Tekenje dan de omfang oan yn it feroaringsloch, want de folgjende persoan sil net ûnthâlde by hokker tunnel it heart.

Audit dêrnei de hiele tastiene set. De standertblokkade reparearret gjin neamd oerskriuwing dy't sûnder adres efterlitten is, en dat einpunt sil gewoan net ferbine sûnder in dúdlike hint wêrom.

Pasia by de identiteit dy't de tsjinner echt brûkt

In oerskriuwing pasia by eat. Op in tsjinner dy't de mienskiplike nammen fan sertifikaten pasia, moat de namme fan 'e oerskriuwing dy mienskiplike namme wêze, net de werjefte fan 'e persoan. Kopiearje it út it sertifikaat ynstee fan út 'e akkountlist.

In tsjinner ynsteld om de brûkersnamme as mienskiplike namme te brûken pasia op in hiel oare kaai, en in oerskriuwing neamd nei it sertifikaat sil nea aktivearje. Lês de ynstelling ynstee fan dy te riddenearjen út wat de akkountlist toant.

Hâld de ekstra autentikaasjefaktoaren dy't de ynset easket. In sletten adresmodel feroaret wa't ferbine mei en hokker adres er krijt; it ferfangt de sertifikaatkontrôle of de twadde faktor net.

Skriuw de tagongsregels as de kaart goed is

Sadree't de kaart fan identiteit nei adres sletten is, kinne regels adressen referred sûnder te bearen dat it minsken binne. In alias dy't de einpunten fan ien persoan groepearret, kin in spesifike tsjinst berikke, wylst in oar alias eat oars berikt. It alias wurdt it neisjogbere objekt, en it adres wurdt in ympleminitaasjedetail dêryn.

Hâld bestimmingen en poarten eksplisyt. It hiele lokale netwurk fan 'e hiele tunnelpool tastean is krekt it ûntwerp dat dizze oefening ferfange moast.

Lês driuwende, groeps- en ynterface-regels yn har echte evaluaasjeoarder, want in eardere brede trochgong ferslacht in letter smelle. It útskeakeljen fan ynterne trochstjoering fan kliïnt nei kliïnt hâldt ferkear tusken pearen by de grins dêr't dy regels neisjoen wurde. In regel dy't allinnich op papier bestiet, is gjin hanthavening.

Test de negative gefallen

Probearje fjouwer nije ferbiningen: in neamd einpunt, ien sûnder hokker oerskriuwing dan ek, in tsjinst dy't berikber wêze moat en ien dy't dat net moat. It net-listige einpunt is it wichtige gefal, want it is datjinge dêr't it ûntwerp foar bestiet om it te stopjen. As it ferbynt, docht de standertblokkade syn wurk net.

Kontrolearje IPv6 apart, want in IPv4-adresbelied seit neat oer in twadde stapel. Befêstigje dêrnei dat de applikaasje de brûker noch autorisearret, want in tunneladres is in netwurkfeit en gjin bewiis fan wa't efter it toetseboerd sit. Beide kontrôles hearre yn 'e akseptaasjenota.

Ta beslút, plen de migraasje. Nije oerskriuwingen en smelle regels feroarje al fêstige sesjes net efterôf, dus besteande tastannen moatte ferrinne of mei opsetsin wiskje wurde.