VPN օգտատերերին տվեք մուտք դեպի մեկ ծառայություն, ոչ թե ենթացանց
Նեղ երթուղին լիազորման քաղաքականություն չէ։ Որոշեք, թե որտեղ է կատարվում պարտադրումը, ինչ աղբյուր է տեսնում ծառայությունը և ինչպես են հավելվածի դերերը մնում առանձին։
Կապալառուին պետք է մեկ ներքին վեբ հավելված և ուրիշ ոչինչ, և հեշտ պատասխանն այն է, որ նրան սերվերի ենթացանց տանող թունել տալն է։ Դա աշխատում է մինչև այն օրը, երբ նա սկանավորում է այն։ Ավելի նեղ ձևավորումը ավելի շատ մտածել է պահանջում, որովհետև հասանելիությունը, երթուղավորումը և հավելվածի թույլտվությունը երեք առանձին վերահսկիչներ են, որոնք պետք է համաձայնեն։
Պահանջը գրեք որպես ծառայություն, ոչ թե ենթացանց
Սկսեք նպատակակետ հոսթից, արձանագրությունից և պորտից, ապա ավելացրեք այն օգտատերերի կամ սարքերի խումբը, որը պետք է հասնի դրան։ Ներառեք մասնավոր DNS գոտին միայն եթե հավելվածը լուծում է անուն, և ներառեք ինքնության մատակարար միայն եթե մուտքի հոսքը դրա կարիքն ունի։ Մնացած ամեն ինչ կախվածություն է, որը դուք դեռ չեք հիմնավորել։
Ենթացանցը ցանցային թիմի իրականացման մանրամասնություն է, մինչդեռ ծառայությունը այն է, ինչ պահանջել է բիզնեսը, և այն միավորը, որը կարելի է վերանայել և դուրս բերել շահագործումից։
Եթե կախվածությունների ցանկը գերազանցում է երեք կետը, հավելվածին, հավանաբար, պետք է սեփական ձևավորման զրույց։
Երթուղավորեք նեղ, բայց պարտադրեք այլ տեղ
Նեղ երթուղին կամ ընտրիչը թունելին ասում է, թե որ փաթեթները տանել. սա լիազորման քաղաքականություն չէ։ Դարպասի զտիչը, նպատակակետ հոսթի հրե պարիսպը և հավելվածի սեփական թույլտվությունների մոդելը այն վայրերն են, որտեղ որոշվում է մուտքը։ Մեկ հասցե ծածկող երթուղին լավ սկիզբ է, և այն այն վերահսկիչը չէ, որը կանգնեցնում է վճռական օգտատիրոջը։ Հենց այդ բաժանումն է թույլ տալիս փոխել զտիչը՝ առանց թունելը վերաձևավորելու։
Ընդհակառակը, լայն երթուղին խիստ զտիչով կարող է օրինական լինել, բայց միայն եթե ներգրավված բոլորը գիտեն, թե երկուսից ով է կատարում պարտադրումը։
Փաստաթղթավորեք պարտադրման կետը հստակ, այլապես հաջորդ փոփոխությունը պատահաբար կտեղափոխի այն։
Ստուգեք այն աղբյուրը, որը ծառայությունը իրականում տեսնում է
Թիրախը տեսնում է կամ հաճախորդի լողավազանի հասցեն, կամ դարպասի հասցեն, կախված նրանից՝ թարգմանում եք, թե ոչ։ Հոսթի հրե պարսպի կանոնները և մատյանները պետք է համապատասխանեն իրական աղբյուրին։ Եթե մի քանի օգտատերեր կիսում են թարգմանված աղբյուր, այդ հոսթի վրա ոչ մի օգտատիրոջ համար կանոն չի կարող տարբերել նրանց, և դա ձևավորման սահմանափակում է, ոչ թե սխալ։
Ընտրեք թարգմանությունը գիտակցաբար. այն պարզեցնում է երթուղավորումը և ոչնչացնում աղբյուրի ինքնությունը, ինչը կարևոր է աուդիտի և օգտատիրոջ համար կանոնների համար։
Գրեք, թե երկուսից որն եք ընտրել, դրանից կախված կանոնի կողքին։
Հավելվածի լիազորումը պարտադիր է
Պորտ հասնելը դեր չի տալիս։ Հավելվածին դեռ պետք է իր մուտքը և իր թույլտվությունները, որովհետև ցանցային շերտը չի կարող արտահայտել, թե որ գրառումները օգտատերը կարող է խմբագրել։ Ծառայությունը, որը վստահում է ներքին ենթացանցից եկող ցանկացած հարցման, նեղ թունելը վերածում է լիարժեք մուտքի մեկ վտանգված հավատարմագրի համար։ Թունելը որոշում է, թե ով կարող է բացել սոկետը, և հավելվածը որոշում է, թե ինչ կարելի է անել դրա հետ։
Այստեղ նեղ ձևավորումը կրկնակի է վճարում, որովհետև ավելի քիչ հասանելի հոսթներ նշանակում են ավելի քիչ տեղեր, որտեղ հավելվածի մակարդակի սխալը կարող է օգտագործվել։
Պահեք ցանցային կանոնը և հավելվածի դերը առանձին համակարգերում և առանձին դուրս բերեք դրանք շահագործումից։
Ապացուցեք և՛ թույլատրված, և՛ մերժված ուղին
Միացեք որպես լիազորված օգտատեր և կատարեք մեկ անվնաս ներկայացուցչական գործողություն, ապա փորձեք մի նպատակակետ, որը պետք է անհասանելի լինի։ Ձևավորումը, որը փորձարկում է միայն առաջին կեսը, փորձարկված չէ, և մերժման փորձարկումն է, որ ապացուցում է ձևավորումը։ Փորձարկեք թարմ նստաշրջան յուրաքանչյուր կանոնի փոփոխությունից հետո, և նայեք վերադարձի ուղուն, եթե հարցումները գալիս են, բայց պատասխանները՝ ոչ։
Չանջատեք փոխանցման զտիչները, որպեսզի ընդունման փորձարկումը անցնի, որովհետև դա փոխում է փորձարկվողը։
Երբ օգտատերն այլևս ծառայության կարիք չունի, դուրս բերեք հեռավոր ինքնությունը և հավելվածի դերը իրենց համապատասխան համակարգերում և գրանցեք երկուսն էլ։ strongSwan-ի փոխանցման ուղեցույցը ընդգրկում է ուղու դարպասի կողմը։