pfSense में स्थिर टनल पते: प्राथमिकता या आरक्षण?

दो डिज़ाइन कागज़ पर एक जैसे दिखते हैं और जब कोई नियम उन पर निर्भर हो तो बहुत अलग व्यवहार करते हैं। एक क्लाइंट ओवरराइड में पता लिखता है और पते को पहचान मानकर भरोसा करता है। दूसरा गतिशील प्रवेश पूरी तरह बंद कर देता है, इसलिए किसी एंडपॉइंट के पास या तो अनोखा आवंटन होता है या वह जुड़ता ही नहीं। केवल दूसरा पते को ऐसी नीति इनपुट बनाता है जिसका आप बचाव कर सकें, और एक भी फ़ायरवॉल नियम लिखने से पहले इस अंतर को समझना उचित है।

ओवरराइड पता वास्तव में क्या वादा करता है

क्लाइंट-विशिष्ट ओवरराइड प्रति क्लाइंट विकल्प रखता है, जिनमें एक पसंदीदा टनल पता भी है। Netgate उस पते को आरक्षण के बजाय प्राथमिकता बताता है, यानी गतिशील पूल वह पता किसी और के लिए नहीं छोड़ता।

यह आमतौर पर ठीक है। टकराव दुर्लभ है, और क्लाइंट को आमतौर पर वही मिलता है जो उसने माँगा, जो सुविधा के लिए काफ़ी है और अधिकृतता के लिए काफ़ी नहीं। सुविधा और अधिकृतता अलग-अलग आवश्यकताएँ हैं, और टकराव में केवल एक ही बचती है।

सबनेट टोपोलॉजी में फ़ील्ड क्लाइंट का पता सर्वर नेटवर्क के मास्क के साथ लेता है, इसलिए 10.90.0.0/24 टनल के भीतर का पता 10.90.0.10/24 लिखा जाता है।

इनमें से कोई भी संख्या आरक्षित नहीं करता। जिस क्लाइंट का ओवरराइड मेल नहीं खाता, या दोहराया सत्र, पूल में कहीं और पहुँच सकता है, और पते पर टिका नियम तब ऐसे व्यक्ति का वर्णन करता है जो वहाँ नहीं है।

सीमित डिफ़ॉल्ट से गतिशील रास्ता बंद करें

विकल्प केवल स्थिर सर्वर है: हर स्वीकृत एंडपॉइंट की अपनी पहचान और अपना अनोखा पता होता है, और और कुछ अंदर नहीं आता।

इसे लागू करने का अर्थ है एक DEFAULT ओवरराइड जो केवल उसी एक सर्वर तक सीमित हो और कनेक्शन ब्लॉकिंग सक्षम हो। तब मेल खाते ओवरराइड के बिना क्लाइंट सामान्य गतिशील प्रवेश पर वापस नहीं जा सकता। यही एक पंक्ति प्राथमिकता को बंद समुच्चय में बदलती है।

दायरा मायने रखता है। डिवाइस पर हर VPN इंस्टेंस पर लगाया गया डिफ़ॉल्ट ओवरराइड असंबंधित टनलों को बंद कर देगा, और यह विफलता नीति निर्णय नहीं बल्कि टूटी सेवा जैसी दिखती है। इसे उसी एक सर्वर से बाँधें जिसका प्रवेश मॉडल आप बदल रहे हैं। फिर दायरा परिवर्तन लॉग में लिखें, क्योंकि अगला व्यक्ति याद नहीं रखेगा कि यह किस टनल का है।

बाद में पूरा अनुमत समुच्चय जाँचें। डिफ़ॉल्ट ब्लॉक बिना पते के छूटे नामित ओवरराइड को ठीक नहीं करता, और वह एंडपॉइंट बिना स्पष्ट संकेत के जुड़ ही नहीं पाएगा।

उसी पहचान पर मिलान करें जो सर्वर वास्तव में उपयोग करता है

ओवरराइड किसी चीज़ से मेल खाता है। जिस सर्वर पर प्रमाणपत्रों के सामान्य नाम मिलाए जाते हैं, वहाँ ओवरराइड का नाम वही सामान्य नाम होना चाहिए, व्यक्ति का प्रदर्शित नाम नहीं। इसे खाता सूची से नहीं, प्रमाणपत्र से कॉपी करें।

जो सर्वर उपयोक्तानाम को सामान्य नाम के रूप में उपयोग करने के लिए कॉन्फ़िगर है वह पूरी तरह भिन्न कुंजी पर मिलान करता है, और प्रमाणपत्र के नाम पर रखा ओवरराइड कभी सक्रिय नहीं होगा। सेटिंग पढ़ें, खाता सूची से अनुमान न लगाएँ।

तैनाती की आवश्यक अतिरिक्त प्रमाणीकरण विधियाँ बनाए रखें। बंद पता मॉडल बदलता है कि कौन जुड़ सकता है और कौन सा पता मिलता है; यह प्रमाणपत्र जाँच या दूसरे कारक का स्थान नहीं लेता।

नक्शा सही होने के बाद पहुँच नियम लिखें

एक बार पहचान से पते का नक्शा बंद हो जाए, नियम पतों का संदर्भ दे सकते हैं बिना उन्हें व्यक्ति बताए। एक व्यक्ति के एंडपॉइंट समूहित करने वाला उपनाम किसी विशिष्ट सेवा तक पहुँच सकता है जबकि दूसरा उपनाम किसी और चीज़ तक पहुँचता है। उपनाम समीक्षा योग्य वस्तु बन जाता है, और पता उसके भीतर कार्यान्वयन विवरण बन जाता है।

गंतव्य और पोर्ट स्पष्ट रखें। पूरे टनल पूल से पूरे स्थानीय नेटवर्क को अनुमति देना ठीक वही डिज़ाइन है जिसे यह अभ्यास बदलने के लिए था।

फ़्लोटिंग, समूह और इंटरफ़ेस नियमों को उनके वास्तविक मूल्यांकन क्रम में पढ़ें, क्योंकि पहला व्यापक मार्ग बाद के संकीर्ण मार्ग को निष्फल कर देता है। क्लाइंट-से-क्लाइंट आंतरिक अग्रेषण बंद करना सहकर्मी ट्रैफ़िक को उसी सीमा पर रखता है जहाँ ये नियम जाँचे जाते हैं। केवल कागज़ पर मौजूद नियम प्रवर्तन नहीं है।

नकारात्मक स्थितियाँ जाँचें

चार नए कनेक्शन आज़माएँ: एक नामित एंडपॉइंट, एक बिना किसी ओवरराइड के, एक सेवा जो पहुँच योग्य होनी चाहिए और एक जो नहीं होनी चाहिए। सूची में न होने वाला एंडपॉइंट महत्वपूर्ण स्थिति है, क्योंकि डिज़ाइन उसे रोकने के लिए ही है। यदि वह जुड़ता है, तो डिफ़ॉल्ट ब्लॉक अपना काम नहीं कर रहा।

IPv6 को अलग से जाँचें, क्योंकि IPv4 पता नीति दूसरे स्टैक के बारे में कुछ नहीं कहती। फिर पुष्टि करें कि अनुप्रयोग अभी भी उपयोक्ता को अधिकृत करता है, क्योंकि टनल पता एक नेटवर्क तथ्य है, इस बात का प्रमाण नहीं कि कुंजीपटल पर कौन है। दोनों जाँचें स्वीकृति टिप्पणी में होनी चाहिए।

अंत में, माइग्रेशन की योजना बनाएँ। नए ओवरराइड और संकीर्ण नियम पहले से स्थापित सत्रों को पूर्वव्यापी रूप से नहीं बदलते, इसलिए मौजूदा स्थितियों को समाप्त होना या जानबूझकर साफ़ किया जाना चाहिए।