VPN klijenti i LAN: kada koristiti odvojenu zonu

Stavljanje sučelja tunela u zonu LAN-a najkraći je put do VPN-a koji radi, i obično je pogrešan zadani izbor. Time se udaljenom klijentu daje isto povjerenje koje ima žičani LAN, a to zadatak rijetko zahtijeva. Odvojena zona košta nekoliko pravila i čini granicu vidljivom. Odluka nije o tome jesu li zone bolje; nego o tome koja tri uvjeta vrijede za vašu mrežu.

Naziv zone ništa ne šifrira i ne provjerava identitet korisnika. On samo grupira sučelja za model pravila vatrozida.

Šta članstvo u zoni zapravo kontroliše

Zona grupira sučelja ili promet unutar modela vatrozida. Njene postavke ulaza, izlaza i prosljeđivanja zatim upravljaju različitim ulogama. Ulaz je promet prema samom ruteru; prosljeđivanje je promet kroz njega prema drugom hostu. OpenWrt dokumentacija o zonama tretira ulaz, izlaz i prosljeđivanje kao odvojene postavke upravo iz tog razloga.

Dozvola iz zone VPN-a u zonu LAN-a nije automatski obrnuta dozvola. Pravila prosljeđivanja imaju smjer, a pravilo koje dopušta promet od klijenta prema serveru ne dopušta sesije od servera prema klijentu. Klijent koji može otvoriti vezu prema serveru nije klijent prema kojem server može otvoriti povratnu vezu.

Ta razlika je razlog zašto je odvojena zona korisna: možete izričito navesti svaki smjer i svaku ulogu. Zapišite smjer pored svakog pravila.

Odluka prva: ulaz, prosljeđivanje ili oboje

Ako udaljenim klijentima treba DNS od rutera, dopustite ulaz samo za tu uslugu. Ako trebaju doći do datotečnog servera, dopustite prosljeđivanje prema tom odredištu. Većina VPN dizajna treba oboje, ali za različite usluge.

Širok pristup ulazu prema svakoj lokalnoj usluzi gotovo nikada nije potreban. Upravljanje ruterom tretirajte kao odvojenu odluku od pristupa aplikacijama. Ako ruter treba samo odgovarati na DNS, zapišite tu jedinu dozvolu i ostavite ostalo zatvoreno.

Odluka druga: koji resursi trebaju udaljenim klijentima

Popišite raspone klijenata, odredišta i usluge koje VPN treba pružiti prije pisanja pravila. Popis odredišta korisniji je od oznake povjerenja, jer preživljava migraciju vatrozida.

Držite upravljačka sučelja odvojeno od uobičajenog pristupa aplikacijama. Udaljeni klijent koji može doći do wikija time ne treba administratorsku stranicu rutera ni konzolu hipervizora.

Ako dopušteno odredište može dalje prosljeđivati, granica zone prestaje na vatrozidu, a ne na onome što odredište čini dalje.

Odluka treća: kako ćete dokazati granicu

Nakon svake promjene testirajte dopušteni tok i jedan namjerno odbijeni. Dokaz da se jedna web stranica učitava ne otkriva nenamjernu široku dozvolu. Testirajte iz raspona adresa VPN klijenta, ne iz LAN-a, i uključite smjer za koji očekujete da će pasti. Zapišite oba rezultata pored pravila.

Sačuvajte pristup za oporavak pristupnika prije nego što promijenite politiku udaljene zone. Koristite trajnu upravljanu konfiguraciju umjesto izmjena u radu, inače će sljedeće ponovno pokretanje vratiti staro povjerenje. Kopija prethodne konfiguracije, pohranjena izvan uređaja, najjeftiniji je povratak koji ćete ikada imati.

Kako mreža raste, dokumentirajte članstvo i svrhu pravila. Novopriključeno sučelje ne smije naslijediti privilegije samo zato što mu je neko dao prikladan naziv zone.