Ստատիկ թունելի հասցեները pfSense-ում՝ նախապատվությո՞ւն, թե՞ ամրագրում
Հաճախորդի վերագրանցումը տալիս է նախընտրելի հասցե, ոչ ամրագրված։ Համեմատեք այն փակ միայն ստատիկ սերվերի հետ և այն ամենի հետ, ինչ պետք է ճիշտ լինի նախքան կանոնները կվստահեն դրան։
Երկու նախագծեր թղթի վրա նման են թվում և բոլորովին այլ կերպ են վարվում, երբ կանոնը կախված է դրանցից։ Մեկը հասցե է մուտքագրում հաճախորդի վերագրանցման մեջ և վստահում հասցեին որպես ինքնության։ Մյուսը ամբողջությամբ փակում է դինամիկ ընդունումը, այնպես որ վերջնակետը կա՛մ ունի եզակի նշանակում, կա՛մ չի միանում։ Միայն երկրորդն է հասցեն դարձնում պաշտպանելի քաղաքականության մուտք, և տարբերությունը արժե հասկանալ նախքան մեկ անգամ հրե պատի կանոն գրելը։
Ինչ է իրականում խոստանում վերագրանցման հասցեն
Հաճախորդին հատուկ վերագրանցումը կրում է յուրաքանչյուր հաճախորդի ընտրանքներ, ներառյալ նախընտրելի թունելի հասցեն։ Netgate-ը նկարագրում է այդ հասցեն որպես նախապատվություն, ոչ ամրագրում, ինչը նշանակում է, որ դինամիկ լողավազանը հասցեն ոչ մեկ ուրիշին չի զիջում։
Դա սովորաբար նորմալ է։ Բախումը հազվադեպ է, և հաճախորդը սովորաբար ստանում է այն, ինչ խնդրել է, ինչը բավական է հարմարավետության համար և բավարար չէ լիազորման համար։ Հարմարավետությունը և լիազորումը տարբեր պահանջներ են, և բախումից միայն մեկն է ողջ մնում։
Ենթացանցային տոպոլոգիայում դաշտը վերցնում է հաճախորդի հասցեն սերվերի ցանցի դիմակի հետ միասին, ուստի 10.90.0.0/24 թունելի ներսում գտնվող հասցեն գրվում է որպես 10.90.0.10/24։
Այս ամենից ոչինչ չի ամրագրում համարը։ Հաճախորդը, ում վերագրանցումը չի համընկնում, կամ կրկնվող սեանսը կարող է հայտնվել լողավազանի այլ տեղում, և հասցեի վրա հիմնված կանոնը այդ ժամանակ նկարագրում է մեկին, ով այնտեղ չէ։
Փակեք դինամիկ ուղին սահմանափակ լռելյայնով
Այլընտրանքը միայն ստատիկ սերվերն է՝ յուրաքանչյուր ընդունված վերջնակետ ունի իր ինքնությունը և իր եզակի հասցեն, և ուրիշ ոչինչ ներս չի մտնում։
Դա ներդնելը նշանակում է DEFAULT վերագրանցում, որը սահմանափակված է այդ մեկ սերվերով և միացված է կապերի արգելափակումը։ Համապատասխան վերագրանցում չունեցող հաճախորդը այդ դեպքում չի կարող վերադառնալ սովորական դինամիկ ընդունմանը։ Հենց այդ մեկ տողն է նախապատվությունը դարձնում փակ բազմություն։
Շրջանակը կարևոր է։ Սարքի յուրաքանչյուր VPN օրինակի վրա կիրառված լռելյայն վերագրանցումը կկողպի անկապ թունելները, և այդ ձախողումը կարծես կոտրված ծառայություն լինի, ոչ թե քաղաքականության որոշում։ Կապեք այն այն մեկ սերվերին, որի ընդունման մոդելը փոխում եք։ Այնուհետև նշեք շրջանակը փոփոխությունների մատյանում, որովհետև հաջորդ մարդը չի հիշի, թե որ թունելին է այն պատկանում։
Դրանից հետո աուդիտ արեք ամբողջ թույլատրված բազմությունը։ Լռելյայն արգելափակումը չի ուղղում առանց հասցեի մնացած անվանված վերագրանցումը, և այդ վերջնակետը պարզապես չի միանա՝ առանց պատճառի հստակ ակնարկի։
Համապատասխանեցրեք այն ինքնությանը, որն իրականում օգտագործում է սերվերը
Վերագրանցումը ինչ-որ բանի համապատասխանում է։ Սերվերի վրա, որը համեմատում է սերտիֆիկատների ընդհանուր անունները, վերագրանցման անունը պետք է լինի այդ ընդհանուր անունը, ոչ թե անձի ցուցադրվող անունը։ Պատճենեք այն սերտիֆիկատից, ոչ թե հաշիվների ցանկից։
Սերվերը, որը կարգավորված է օգտագործել օգտանունը որպես ընդհանուր անուն, համեմատում է բոլորովին այլ բանալիով, և սերտիֆիկատի անունով կոչված վերագրանցումը երբեք չի գործարկվի։ Կարդացեք կարգավորումը՝ փոխարենը չենթադրելով այն հաշիվների ցանկից։
Պահեք տեղաբաշխման պահանջած լրացուցիչ նույնականացման գործոնները։ Փակ հասցեների մոդելը փոխում է, թե ով կարող է միանալ և ինչ հասցե ստանալ, այն չի փոխարինում սերտիֆիկատի ստուգմանը կամ երկրորդ գործոնին։
Գրեք մատչելիության կանոնները, երբ քարտեզը ճիշտ լինի
Երբ ինքնությունից հասցե քարտեզը փակ է, կանոնները կարող են հղում անել հասցեներին՝ առանց ձևացնելու, որ դրանք մարդիկ են։ Մեկ անձի վերջնակետերը խմբավորող մականունը կարող է հասնել որոշակի ծառայության, մինչդեռ մեկ այլ մականուն հասնում է այլ բանի։ Մականունը դառնում է վերանայելի օբյեկտ, և հասցեն դառնում է դրա ներսում ներդրման մանրամասնություն։
Պահեք նպատակակետերն ու պորտերը հստակ։ Թույլատրել ամբողջ տեղական ցանցը ամբողջ թունելային լողավազանից հենց այն նախագիծն է, որը պետք է փոխարիներ այս վարժությունը։
Կարդացեք լողացող, խմբային և ինտերֆեյսային կանոնները դրանց իրական գնահատման հերթականությամբ, որովհետև ավելի վաղ լայն անցումը վերացնում է ավելի ուշ նեղը։ Հաճախորդների միջև ներքին փոխանցումն անջատելը պահում է զուգընկերների միջև հոսքը այն սահմանին, որտեղ վերանայվում են այդ կանոնները։ Թղթի վրա միայն գոյություն ունեցող կանոնը կիրառում չէ։
Փորձեք բացասական դեպքերը
Փորձեք չորս նոր միացում՝ անվանված վերջնակետ, մեկը՝ առանց որևէ վերագրանցման, ծառայություն, որը պետք է հասանելի լինի, և մեկը, որը չպետք է լինի։ Ցանկում չնշված վերջնակետը կարևոր դեպքն է, որովհետև հենց այն կանգնեցնելու համար է նախագիծը գոյություն ունի։ Եթե այն միանում է, լռելյայն արգելափակումն իր գործը չի անում։
Ստուգեք IPv6-ը առանձին, որովհետև IPv4 հասցեների քաղաքականությունը ոչինչ չի ասում երկրորդ կույտի մասին։ Այնուհետև հաստատեք, որ հավելվածը դեռ լիազորում է օգտվողին, որովհետև թունելի հասցեն ցանցային փաստ է, ոչ թե ապացույց, թե ով է ստեղնաշարի մոտ։ Երկու ստուգումներն էլ պատկանում են ընդունման նշումին։
Վերջում պլանավորեք միգրացիան։ Նոր վերագրանցումները և նեղ կանոնները հետադարձ ուժով չեն փոխում արդեն հաստատված սեսիաները, ուստի գոյություն ունեցող վիճակները պետք է սպառվեն կամ դիտավորյալ մաքրվեն։