Két klienscsoport, egy kiszolgáló: hol érvényesítsük a szabályzatot

Két klienscsoport különböző alhálózatokra helyezése izolációnak látszik, és nem az. A címek azt írják le, honnan látszik jönni egy csomag, míg az engedély olyan döntés, amelyet az hoz, ami továbbítja. Erre a kérdésre a konfiguráció válaszol, nem a maszk, ezért döntse el, melyik komponens továbbítja a társak forgalmát, mielőtt bármilyen szabályt írna.

Az alhálózat címke, nem szabály

Egy készlet csoportonkénti kiosztása olvasható címeket ad, és semmi mást. Az a kliens, amely elfogad egy további útvonalat, elérhetőséget szerzett, és az elérhetőség nem felhatalmazás. A beszélés engedélye a továbbítási döntésben rejlik, amely a démonban vagy a kernelben élhet attól függően, hogyan van beállítva a kiszolgáló.

A cím tulajdonjoga teszi az előtagot csoportválasztóként használhatóvá. Minden hitelesített identitásnak kiszámítható címhez vagy tartományhoz kell rendelődnie, és ez a leképezés akkor hibázik, amikor több eszköz osztozik egy hitelesítő adaton és egy kiosztáson. Oldja meg az identitást és a párhuzamosságot, mielőtt forrás-előtagra támaszkodna, mert a szabályzat, amely kitalálja, melyik gép hív, a legrosszabb pillanatban a rosszat engedélyezi.

Válassza azt az útvonalat, amely a társak forgalmát viszi

Amikor a démon a saját folyamatán belül továbbítja a társak csomagjait, ezek a csomagok soha nem érik el a gazdagép továbbítási horgát, így egy kernel-szabály nem láthatja őket. Kapcsolja ki ezt a belső továbbítást, és a kernel lesz a továbbítási pont, ahol a szokásos továbbítási szabályok érvényesek.

# peer forwarding inside the daemon: enforce with per-group policy instead of FORWARD rules
client-to-client
# kernel forwarding path: remove the line above, then filter in the forward chain

A kiszervezett adatcsatornák és a termék által kezelt kiszolgálók saját érvényesítési modellt tesznek közzé, ezért erősítse meg, melyiket futtatja, ahelyett hogy a közösség viselkedését feltételezné. Az elkerülendő hiba az a szabály, amely a felülvizsgálatban helyesnek látszik, és futásidőben soha nem kérdezik meg.

A szabályok előtt írja meg a mátrixot

Egy rövid mátrix könnyebben átvizsgálható, mint egy szabálykészlet, és ez az a szerződés, amelyet a megvalósításnak teljesítenie kell: azonos csoport társai engedélyezve, csoportok közötti társak tiltva, mindkét csoport engedélyezve egy megnevezett közös szolgáltatás felé, minden más tiltva. Írja le ezt a négy sort, mielőtt megnyit egy tűzfal-szerkesztőt. Az a felülvizsgáló, aki nem olvassa a szabályok szintaxisát, a mátrixot még ellenőrizheti. Utána a megvalósításnak már csak a sorokhoz kell illeszkednie.

Írás közben tartsa külön a három célosztályt. A VPN-gazdagépen lévő szolgáltatás helyi bemenet, egy másik kliens társ-átmenet, a gateway mögötti gép pedig más továbbítási útvonal. Egyetlen bőkezű szabály véletlenül mindhármat megadhatja, és így válik egy csoportszabályzat extra lépésekkel rendelkező lapos hálózattá. Írja az osztályt minden sor mellé, hogy a szándék túlélje a következő szerkesztést.

Oda tegye a szabályokat, ahol túlélnek

Ugyanoda adja hozzá a döntéseket, ahol a tűzfal többi részét karbantartják, minden engedélyező szabály elé, amely különben elnyelné őket. A szabályok sorrendje a szabályzat része, és egy széles engedélyezés után elhelyezett helyes szabály semmit nem érvényesít. Jegyezze fel a szabályszámokat a változás előtt és után. Az a szabályzat, amely szerkesztőben létezik, de a futó szabálykészletben nem, terv, nem ellenőrzés.

Döntse el, mi történik a már létező folyamokkal a szabályzat változásakor, mert a változás előtt megnyitott munkamenet utána is futhat. Ha egy távozó tagnak azonnal elveszítenie kell a hozzáférést, a szabálykészletnek módot kell adnia ennek az állapotnak a lezárására ahelyett, hogy megvárná a kapcsolat magától bezárulását.

Tegye maradandóvá a szabályokat azzal a mechanizmussal, amely a tűzfal többi részét birtokolja, és jegyezze fel a mátrixot melléjük. A nem rögzített szabályzatot a következő incidens során újra levezetik az emlékezetből, általában valaki sietve.

Mindkét oldalról bizonyítsa

Tesztelje az azonos csoporton belüli elérhetőséget, a csoportok közötti sikertelenséget és a közös szolgáltatást minden csoport egy klienséből. Egyetlen teszt egyetlen kliensből a mátrix felét bizonyítja, és az a fél, amelyet kihagy, általában a hibás. Ismételje meg a tiltás irányát kétszer, mert egy gyorsítótárazott munkamenet elrejthet egy érvényesítési hibát. Jegyezze fel, melyik párt tesztelte, hogy a következő ember ne ismételje meg.

Ismételje meg az ellenőrzést IPv6-on, ha az alagút viszi, és tartsa meg a szokásos alkalmazáshitelesítést. A forrás-előtag nem fiók, ezért a hálózati szabályzat átlépése nem jelenti azt, hogy a szolgáltatásnak meg kellene bíznia a hívóban.