לקוחות VPN וה-LAN: מתי להשתמש באזור נפרד

הצבת ממשק המנהרה באזור ה-LAN היא הדרך הקצרה ביותר ל-VPN עובד, ובדרך כלל זו ברירת המחדל השגויה. היא מעניקה ללקוח המרוחק את אותה אמון שיש ל-LAN החוטי, וזו דרישה שהמשימה ממעטת לדרוש. אזור נפרד עולה כמה כללים והופך את הגבול לגלוי. ההחלטה אינה אם אזורים טובים יותר; היא אלו שלושה תנאים חלים על הרשת שלכם.

שם האזור אינו מצפין דבר ואינו מאמת משתמש. הוא רק מקבץ ממשקים עבור מודל המדיניות של חומת האש.

מה החברות באזור באמת שולטת בו

אזור מקבץ ממשקים או תעבורה במודל של חומת האש. לאחר מכן הגדרות הקלט, הפלט וההעברה שלו שולטות בתפקידים שונים. קלט הוא תעבורה אל הנתב עצמו; העברה היא תעבורה דרכו אל מארח אחר. התיעוד של OpenWrt על אזורים מתייחס לקלט, לפלט ולהעברה כהגדרות נפרדות בדיוק מהסיבה הזו.

היתר מאזור ה-VPN לאזור ה-LAN אינו היתר הפוך אוטומטי. כללי העברה הם כיווניים, וכלל שמתיר תעבורה מלקוח לשרת אינו מתיר הפעלות משרת ללקוח. לקוח שיכול לפתוח חיבור אל שרת אינו לקוח שהשרת יכול לפתוח אליו חיבור חזרה.

ההבחנה הזו היא הסיבה שאזור נפרד מועיל: אפשר להצהיר במפורש על כל כיוון וכל תפקיד. כתבו את הכיוון לצד כל כלל.

החלטה ראשונה: קלט, העברה או שניהם

אם לקוחות מרוחקים זקוקים ל-DNS מהנתב, התירו קלט רק לשירות הזה. אם הם צריכים להגיע לשרת קבצים, התירו העברה אל היעד הזה. רוב תכנוני ה-VPN זקוקים לשניהם, אך לשירותים שונים.

גישה רחבה בקלט לכל שירות מקומי כמעט אינה נדרשת. התייחסו לניהול הנתב כהחלטה נפרדת מגישה ליישומים. אם הנתב צריך רק להשיב ל-DNS, כתבו את ההיתר הבודד הזה והשאירו את השאר סגור.

החלטה שנייה: אילו משאבים הלקוחות המרוחקים צריכים

פרטו את טווחי הלקוחות, את היעדים ואת השירותים שה-VPN אמור לספק לפני כתיבת כללים. רשימת יעדים שימושית מתווית אמון, כי היא שורדת הגירת חומת אש.

החזיקו ממשקי ניהול בנפרד מגישה רגילה ליישומים. לקוח מרוחק שמגיע לוויקי אינו זקוק מכך לדף הניהול של הנתב או לקונסולת ההיפרוויזור.

אם יעד מותר יכול להעביר הלאה, גבול האזור נעצר בחומת האש, ולא במה שהיעד עושה לאחר מכן.

החלטה שלישית: איך תוכיחו את הגבול

בדקו זרימה מותרת ואחת שנחסמה בכוונה לאחר כל שינוי. הוכחה שדף אחד נטען אינה חושפת היתר רחב לא מכוון. בדקו מטווח הכתובות של לקוח ה-VPN, לא מה-LAN, וכללו את הכיוון שבו אתם מצפים לכישלון. רשמו את שתי התוצאות לצד הכלל.

שמרו על גישת השחזור של השער לפני שינוי המדיניות של האזור המרוחק. השתמשו בתצורה המנוהלת המתמשכת ולא בעריכות בזמן ריצה, אחרת האתחול הבא ישחזר את האמון הישן. עותק של התצורה הקודמת, השמור מחוץ להתקן, הוא השחזור הזול ביותר שיהיה לכם.

כשהרשת גדלה, תעדו חברות ומטרת כללים. ממשק שחובר לאחרונה לא צריך לרשת הרשאות רק מפני שמישהו נתן לו שם אזור נוח.