Statikus alagútcímek a pfSense-ben: preferencia vagy foglalás?

Két terv papíron hasonlónak tűnik, és nagyon eltérően viselkedik, amint egy szabály függ tőlük. Az egyik címet ír egy ügyfélfelülbírálásba, és azonosítóként bízik a címben. A másik teljesen lezárja a dinamikus felvételt, így egy végpont vagy egyedi hozzárendelést kap, vagy nem kapcsolódik. Csak a második tesz egy címet olyan szabályzati bemenetté, amelyet meg tud védeni, és a különbséget érdemes megérteni, mielőtt akár egyetlen tűzfalszabályt ír.

Mit ígér valójában egy felülbírálási cím

Az ügyfélspecifikus felülbírálás ügyfelenkénti beállításokat tartalmaz, köztük egy előnyben részesített alagútcímet. A Netgate ezt a címet preferenciaként írja le, nem foglalásként, ami azt jelenti, hogy a dinamikus készlet nem mond le a címről senki más javára.

Ez általában rendben van. Az ütközés ritka, és az ügyfél rendszerint megkapja, amit kért, ami elég a kényelemhez és nem elég az engedélyezéshez. A kényelem és az engedélyezés külön követelmények, és közülük csak az egyik él túl egy ütközést.

Alhálózati topológiánál a mező az ügyfél címét a kiszolgáló hálózatának maszkjával együtt veszi át, így a 10.90.0.0/24 alagúton belüli cím 10.90.0.10/24 alakban íródik.

Ebből semmi sem foglalja le a számot. Egy ügyfél, amelynek felülbírálása nem illeszkedik, vagy egy duplikált munkamenet máshol végezhet a készletben, és a címre épülő szabály akkor olyasvalakit ír le, aki nincs ott.

Zárja le a dinamikus utat egy hatókörölt alapértelmezéssel

A másik lehetőség egy kizárólag statikus kiszolgáló: minden beengedett végpont saját azonosítóval és saját egyedi címmel rendelkezik, és semmi más nem jut be.

Megvalósítása egy DEFAULT felülbírálást jelent, amely erre az egy kiszolgálóra korlátozódik, bekapcsolt kapcsolatblokkolással. Az illeszkedő felülbírálás nélküli ügyfél ezután nem eshet vissza a szokásos dinamikus felvételre. Ez az egyetlen sor az, ami egy preferenciát zárt halmazzá alakít.

A hatókör számít. A gépen minden VPN-példányra alkalmazott alapértelmezett felülbírálás kizárja a nem kapcsolódó alagutakat, és ez a hiba törött szolgáltatásnak látszik, nem szabályzati döntésnek. Kösse egyetlen kiszolgálóhoz, amelynek a felvételi modelljét változtatja. Ezután jegyezze fel a hatókört a változási naplóban, mert a következő ember nem fog emlékezni, melyik alagúthoz tartozik.

Ezután vizsgálja felül a teljes engedélyezett halmazt. Az alapértelmezett blokkolás nem javítja meg a cím nélkül maradt nevesített felülbírálást, és az a végpont egyszerűen nem fog kapcsolódni, anélkül hogy nyilvánvaló utalás lenne az okára.

Ahhoz az azonosítóhoz illessze, amelyet a kiszolgáló valóban használ

A felülbírálás valamihez illeszkedik. Egy tanúsítványok közös nevét egyeztető kiszolgálón a felülbírálás nevének ennek a közös névnek kell lennie, nem a személy megjelenítendő nevének. Másolja a tanúsítványból, ne a fióklistából.

Egy olyan kiszolgáló, amely a felhasználónevet használja közös névként, teljesen más kulcson egyeztet, és a tanúsítványról elnevezett felülbírálás soha nem lép működésbe. Olvassa el a beállítást, ahelyett hogy a fióklista alapján következtetne rá.

Tartsa meg az üzemeltetés által megkövetelt további hitelesítési tényezőket. A zárt címmodell megváltoztatja, ki kapcsolódhat és milyen címet kap; nem helyettesíti a tanúsítvány-ellenőrzést vagy a második tényezőt.

A hozzáférési szabályokat a térkép helyessége után írja meg

Amint az azonosító és a cím közötti térkép zárt, a szabályok hivatkozhatnak címekre anélkül, hogy személyeknek tettetnék őket. Egy egy személy végpontjait csoportosító alias elérhet egy adott szolgáltatást, míg egy másik alias mást ér el. Az alias lesz az átvizsgálható objektum, a cím pedig annak belső megvalósítási részletévé válik.

Tartsa egyértelműen a célokat és a portokat. A teljes helyi hálózat engedélyezése a teljes alagútkészletből pontosan az a terv, amelyet ennek a gyakorlatnak helyettesítenie kellett.

Olvassa a lebegő, csoport- és interfészszabályokat valódi kiértékelési sorrendjükben, mert egy korábbi széles áthaladás felülír egy későbbi szűket. Az ügyfelek közötti belső továbbítás kikapcsolása a társforgalmat azon a határon tartja, ahol ezeket a szabályokat átvizsgálják. Egy szabály, amely csak papíron létezik, nem végrehajtás.

Tesztelje a negatív eseteket

Próbáljon ki négy friss kapcsolatot: egy nevesített végpontot, egyet felülbírálás nélkül, egy szolgáltatást, amelynek elérhetőnek kellene lennie, és egyet, amelynek nem. A nem listázott végpont a fontos eset, mert a terv éppen azt hivatott megállítani. Ha kapcsolódik, az alapértelmezett blokkolás nem végzi a dolgát.

Az IPv6-ot külön ellenőrizze, mert az IPv4-címszabályzat semmit nem mond egy második veremről. Ezután erősítse meg, hogy az alkalmazás továbbra is engedélyezi a felhasználót, mert egy alagútcím hálózati tény, nem pedig annak bizonyítéka, ki ül a billentyűzetnél. Mindkét ellenőrzés az átvételi feljegyzésbe tartozik.

Végül tervezze meg a migrációt. Az új felülbírálások és szűk szabályok nem változtatják meg visszamenőleg a már létrejött munkameneteket, ezért a meglévő állapotoknak le kell járniuk, vagy szándékosan törölni kell őket.