Երկու հաճախորդային խումբ, մեկ սերվեր՝ որտեղ կիրառել քաղաքականությունը
Ենթացանցերը պիտակավորում են խմբերը, բայց չեն մեկուսացնում դրանք։ Որոշեք, թե որ փոխանցման ուղին է տիրապետում կանոնին, ապա գրեք մատրիցը, որը պետք է կիրառի իրականացումը։
Երկու հաճախորդային խումբ տարբեր ենթացանցերում տեղադրելը նման է մեկուսացման, և այդպես չէ։ Հասցեները նկարագրում են, թե որտեղից է փաթեթը կարծես գալիս, մինչդեռ թույլտվությունը որոշում է, որը կայացնում է այն փոխանցողը։ Այս հարցին պատասխանում է կոնֆիգուրացիան, ոչ դիմակը, ուստի որոշեք, թե որ բաղադրիչն է փոխանցում հավասարակիցների երթևեկությունը, նախքան որևէ կանոն գրելը։
Ենթացանցը պիտակ է, ոչ կանոն
Մեկ լողավազան յուրաքանչյուր խմբի համար տալիս է ընթեռնելի հասցեներ և ուրիշ ոչինչ։ Այն հաճախորդը, որը ընդունում է լրացուցիչ երթուղի, ձեռք է բերել հասանելիություն, իսկ հասանելիությունը լիազորում չէ։ Խոսելու թույլտվությունը գտնվում է փոխանցման որոշման մեջ, որը կարող է ապրել դեմոնում կամ միջուկում՝ կախված սերվերի կարգավորումից։
Հասցեի սեփականությունն է, որ նախածանցը դարձնում է խմբի ընտրիչ։ Յուրաքանչյուր նույնականացված ինքնություն պետք է համապատասխանի կանխատեսելի հասցեի կամ միջակայքի, և այդ քարտեզագրումը ձախողվում է հենց որ մի քանի սարքեր կիսում են մեկ վկայագիր և մեկ հատկացում։ Լուծեք ինքնության և զուգահեռության հարցերը նախքան աղբյուրի նախածանցին ապավինելը, քանի որ այն քաղաքականությունը, որը գուշակում է, թե որ մեքենան է զանգում, ամենավատ պահին լիազորում է սխալին։
Ընտրեք այն ուղին, որը կրում է հավասարակիցների երթևեկությունը
Երբ դեմոնը փոխանցում է հավասարակիցների փաթեթները իր իսկ գործընթացի ներսում, այդ փաթեթները երբեք չեն հասնում հոսթի փոխանցման կեռիկին, ուստի միջուկի կանոնը չի կարող տեսնել դրանք։ Անջատեք այդ ներքին փոխանցումը, և միջուկը դառնում է փոխանցման կետ, որտեղ գործում են սովորական փոխանցման կանոնները։
# peer forwarding inside the daemon: enforce with per-group policy instead of FORWARD rules
client-to-client
# kernel forwarding path: remove the line above, then filter in the forward chainԱզատված տվյալների ուղիները և արտադրանքի կողմից կառավարվող սերվերները հրապարակում են իրենց կիրառման մոդելները, ուստի հաստատեք, թե որն եք վարում՝ փոխանակ ենթադրելու համայնքի վարքը։ Խուսափելու արժանի ձախողությունն այն կանոնն է, որը վերանայման ժամանակ ճիշտ է թվում և երբեք չի հարցվում գործարկման ընթացքում։
Մատրիցը գրեք կանոններից առաջ
Կարճ մատրիցն ավելի հեշտ է վերանայել, քան կանոնների հավաքածուն, և այն պայմանագիրն է, որը պետք է կատարի իրականացումը՝ նույն խմբի հավասարակիցները թույլատրված են, խմբերի միջև հավասարակիցները արգելված են, երկու խմբերն էլ թույլատրված են մեկ անվանված ընդհանուր ծառայության, մնացած ամեն ինչ արգելված է։ Գրեք այդ չորս տողերը նախքան ֆայրվոլի խմբագրիչը բացելը։ Վերանայողը, որը չի կարդում կանոնների շարահյուսությունը, այնուամենայնիվ կարող է ստուգել մատրիցը։ Այնուհետև իրականացմանը մնում է միայն համապատասխանել տողերին։
| Source | Destination | Decision |
|---|---|---|
| Group A address | Another Group A address | Allow |
| Group A address | A Group B address | Deny |
| Either group | The shared internal service | Allow |
| Either group | Anything not listed | Deny |
Մատրիցը գրելիս առանձին պահեք նպատակակետի երեք դասերը։ VPN հոսթի վրա ծառայությունը տեղական մուտք է, մեկ այլ հաճախորդ՝ հավասարակիցների տրանզիտ, իսկ դարպասի հետևում գտնվող մեքենան՝ այլ փոխանցման ուղի։ Մեկ առատաձեռն կանոն կարող է պատահաբար տրամադրել բոլոր երեքը, և այդպես խմբային քաղաքականությունը վերածվում է լրացուցիչ քայլերով հարթ ցանցի։ Գրեք դասը յուրաքանչյուր տողի կողքին, որպեսզի մտադրությունը վերապրի հաջորդ խմբագրումը։
Տեղադրեք կանոնները այնտեղ, որտեղ նրանք գոյատևում են
Որոշումները ավելացրեք այն նույն տեղում, որտեղ պահպանվում է ֆայրվոլի մնացած մասը՝ ցանկացած թույլատրող կանոնից առաջ, որը հակառակ դեպքում կկուլ տա դրանք։ Կանոնների հերթականությունը քաղաքականության մասն է, և լայն թույլտվությունից հետո տեղադրված ճիշտ կանոնը ոչինչ չի կիրառում։ Նշեք կանոնների համարները փոփոխությունից առաջ և հետո։ Քաղաքականությունը, որը գոյություն ունի խմբագրիչում, բայց ոչ գործող կանոնների հավաքածուում, պլան է, ոչ վերահսկողություն։
Որոշեք, թե ինչ է լինում արդեն գոյություն ունեցող հոսքերի հետ, երբ քաղաքականությունը փոխվում է, քանի որ փոփոխությունից առաջ բացված նիստը կարող է շարունակվել դրանից հետո։ Եթե հեռացող անդամը պետք է անմիջապես կորցնի հասանելիությունը, կանոնների հավաքածուն պետք է ունենա այդ վիճակը դադարեցնելու միջոց՝ փոխանակ սպասելու, որ կապն ինքն իրեն փակվի։
Կանոնները դարձրեք մշտական այն մեխանիզմով, որը տիրապետում է ֆայրվոլի մնացած մասին, և մատրիցը գրանցեք դրանց կողքին։ Չգրանցված քաղաքականությունը հաջորդ միջադեպի ընթացքում կրկին ածանցվում է հիշողությունից, սովորաբար շտապող մեկի կողմից։
Ապացուցեք երկու կողմից
Փորձարկեք նույն խմբի ներսում հասանելիությունը, խմբերի միջև ձախողումը և ընդհանուր ծառայությունը յուրաքանչյուր խմբի մեկ հաճախորդից։ Մեկ հաճախորդից մեկ փորձարկումն ապացուցում է մատրիցի կեսը, և այն կեսը, որը բաց է թողնվում, սովորաբար սխալն է։ Կրկնեք արգելքի ուղղությունը երկու անգամ, քանի որ քեշավորված նիստը կարող է թաքցնել կիրառման սխալը։ Գրանցեք, թե որ զույգն եք փորձարկել, որպեսզի հաջորդ մարդը չկրկնի այն։
Կրկնեք ստուգումը IPv6-ում, եթե թունելը կրում է այն, և պահեք սովորական հավելվածային նույնականացումը։ Աղբյուրի նախածանցը հաշիվ չէ, ուստի ցանցային քաղաքականությունը անցնելը չի նշանակում, որ ծառայությունը պետք է վստահի զանգահարողին։