Twa klantgroepen, ien tsjinner: wêr't it belied hanthavene wurde moat

Twa klantgroepen op ferskate subnetten sette liket op isolaasje, en dat is it net. Adressen beskriuwe wêr't in pakket skynber wei komt, wylst tastimming in beslissing is fan wat it trochstjoert. Dy fraach wurdt beantwurde troch konfiguraasje en net troch it masker, dus beslis hokker komponint peersferkear trochstjoert foar't jo ien regel skriuwe.

In subnet is in label, gjin regel

Ien pool per groep tawize jout jo lêsbere adressen en neat oars. In klant dy't in ekstra rûte akseptearret hat berikberens wûn, en berikberens is gjin autorisaasje. De tastimming om te praten sit yn 'e trochstjoerbeslissing, dy't yn 'e daemon of yn 'e kernel wenje kin ôfhinklik fan hoe't de tsjinner konfigurearre is.

Adres-eigendom is wat in foarheaksel brûkber makket as groepselektor. Eltse autentisearre identiteit moat oan in foarsisber adres of berik keppele wurde, en dy keppeling mislearret sa gau as ferskate apparaten ien oanmeldgegevens en ien tawizing diele. Los identiteit en gelykheid op foar't jo op in boarnefoarheaksel fertrouwe, want in belied dat riedt hokker masine skillet, autorisearret de ferkearde op it minste momint.

Kies it paad dat peersferkear draacht

As de daemon pearpakketten yn syn eigen proses trochstjoert, berikke dy pakketten nea de trochstjoerheak fan de host, sadat in kernelregel se net sjen kin. Skeakelje dat ynterne trochstjoeren út en de kernel wurdt it trochstjoerpunt, dêr't gewoane trochstjoerregels jilde.

# peer forwarding inside the daemon: enforce with per-group policy instead of FORWARD rules
client-to-client
# kernel forwarding path: remove the line above, then filter in the forward chain

Ofmakkene datakanalen en produktbestjoerde tsjinners publisearje har eigen hanthaveningsmodellen, dus befêstigje hokker jo draaie ynstee fan it mienskipgedrach oan te nimmen. De flater dy't it wurdich is te foarkommen is in regel dy't by in beoardieling korrekt liket en nea by runtime rieplachte wurdt.

Skriuw de matrix foar't jo regels skriuwe

In koarte matrix is makliker te beoardieljen as in regelset, en it is it kontrakt dat de ymplemintaasje foldwaan moat: peers fan deselde groep tastien, peers oer groepen hinne wegere, beide groepen tastien nei ien neamde dielde tsjinst, al it oare wegere. Skriuw dy fjouwer rigels op foar't jo in firewall-redakteur iepenje. In beoardieler dy't gjin regelsyntaksis lêst kin de matrix dochs kontrolearje. Dan hoecht de ymplemintaasje allinnich by de rigels te passen.

Hâld de trije bestimmingsklassen útinoar wylst jo it skriuwe. In tsjinst op 'e VPN-host is lokale ynfier, in oare klant is peartransyt, en in masine efter de gateway is in oar trochstjoerpaad. Ien romhertige regel kin alle trije by ûngelok jaan, en sa wurdt in groepsbelied in plat netwurk mei ekstra stappen. Skriuw de klasse njonken elke rigel sadat de bedoeling de folgjende bewurking oerlibbet.

Set de regels dêr't se oerlibje

Foegje de beslissingen ta op itselde plak dêr't de rest fan 'e firewall ûnderhâlden wurdt, foarôfgeand oan elke tastimmende regel dy't se oars opslokje soe. Regeloarder is part fan it belied, en in korrekte regel pleatst nei in brede akseptaasje hanthavent neat. Notearje de regelnummers foar en nei de feroaring. In belied dat yn in redakteur bestiet mar net yn 'e rinnende regelset is in plan, gjin kontrôle.

Beslis wat der bart mei streams dy't al bestean as it belied feroaret, want in sesje dy't foar de feroaring iepene is kin dêrnei trochrinne. As in fertrekkend lid daliks tagong ferlieze moat, hat de regelset in manier nedich om dy steat te beëinigjen ynstee fan te wachtsjen oant de ferbining fansels sluten wurdt.

Meitsje de regels duorsum fia it meganisme dat de rest fan 'e firewall besit, en registrearje de matrix dêrby. In net-registrearre belied wurdt by it folgjende ynsidint opnij út it ûnthâld ôflaat, meastentiids troch immen dy't haast hat.

Bewiis it fan beide kanten

Test berikberens binnen deselde groep, mislearring oer groepen hinne en de dielde tsjinst fan ien klant yn elke groep. Ien test fan ien klant bewiist de helte fan 'e matrix, en de helte dy't er weilitten is meastentiids de ferkearde. Werhelje de wegeringsrjochting twa kear, want in cache-sesje kin in hanthaveningsflater ferbergje. Notearje hokker pear jo test hawwe sadat de folgjende persoan it net werhellet.

Werhelje de kontrôle op IPv6 as de tunnel it draacht, en hâld gewoane applikaasje-autentikaasje yn plak. In boarnefoarheaksel is gjin akkount, dus it heljen fan it netwurkbelied betsjut net dat in tsjinst de oanropper fertrouwe moat.