Alamat tunnel statis di pfSense: preferensi atau reservasi?

Dua rancangan tampak serupa di atas kertas dan berperilaku sangat berbeda ketika sebuah aturan bergantung padanya. Yang satu mengetikkan alamat ke penimpaan klien dan mempercayai alamat itu sebagai identitas. Yang lain menutup sepenuhnya penerimaan dinamis, sehingga sebuah endpoint entah punya penetapan unik atau tidak terhubung. Hanya yang kedua mengubah alamat menjadi masukan kebijakan yang dapat Anda pertahankan, dan perbedaannya layak dipahami sebelum menulis satu aturan firewall pun.

Apa yang sebenarnya dijanjikan alamat penimpaan

Penimpaan khusus klien membawa opsi per klien, termasuk alamat tunnel yang diutamakan. Netgate menyebut alamat itu sebagai preferensi dan bukan reservasi, yang berarti kumpulan dinamis tidak melepaskan alamat itu untuk orang lain.

Biasanya itu tidak masalah. Tabrakan jarang terjadi, dan klien biasanya menerima apa yang diminta, cukup untuk kenyamanan dan tidak cukup untuk otorisasi. Kenyamanan dan otorisasi adalah kebutuhan berbeda, dan hanya satu di antaranya bertahan dari tabrakan.

Dengan topologi subnet, bidang itu mengambil alamat klien bersama mask jaringan server, sehingga alamat di dalam tunnel 10.90.0.0/24 ditulis sebagai 10.90.0.10/24.

Tidak ada dari itu yang mencadangkan nomornya. Klien yang penimpaannya tidak cocok, atau sesi ganda, bisa berakhir di tempat lain dalam kumpulan, dan aturan yang mendasarkan diri pada alamat kemudian menggambarkan seseorang yang tidak ada di sana.

Tutup jalur dinamis dengan bawaan yang dibatasi cakupannya

Alternatifnya adalah server khusus statis: setiap endpoint yang diterima punya identitas sendiri dan alamat unik sendiri, dan tidak ada yang lain masuk.

Menerapkannya berarti penimpaan DEFAULT yang dibatasi pada satu server itu dengan pemblokiran koneksi diaktifkan. Klien tanpa penimpaan yang cocok lalu tidak dapat kembali ke penerimaan dinamis biasa. Baris tunggal itulah yang mengubah preferensi menjadi himpunan tertutup.

Cakupan itu penting. Penimpaan bawaan yang diterapkan pada setiap instans VPN di perangkat akan mengunci tunnel yang tidak terkait, dan kegagalan itu tampak seperti layanan rusak alih-alih keputusan kebijakan. Ikat pada satu server yang model penerimaannya Anda ubah. Lalu catat cakupannya dalam catatan perubahan, karena orang berikutnya tidak akan ingat tunnel mana yang dimaksud.

Setelah itu audit seluruh himpunan yang diizinkan. Pemblokiran bawaan tidak memperbaiki penimpaan bernama yang ditinggalkan tanpa alamat, dan endpoint itu akan gagal terhubung tanpa petunjuk jelas tentang penyebabnya.

Cocokkan dengan identitas yang benar-benar dipakai server

Penimpaan mencocokkan sesuatu. Pada server yang mencocokkan nama umum sertifikat, nama penimpaan harus nama umum itu, bukan nama tampilan orangnya. Salin dari sertifikat, bukan dari daftar akun.

Server yang dikonfigurasi memakai nama pengguna sebagai nama umum mencocokkan kunci yang sama sekali berbeda, dan penimpaan yang dinamai menurut sertifikat tidak akan pernah aktif. Baca pengaturannya alih-alih menyimpulkannya dari apa yang ditampilkan daftar akun.

Pertahankan faktor autentikasi tambahan yang dituntut penerapan. Model alamat tertutup mengubah siapa yang boleh terhubung dan alamat mana yang diterima; model itu tidak menggantikan pemeriksaan sertifikat atau faktor kedua.

Tulis aturan akses setelah peta sudah benar

Setelah peta identitas ke alamat tertutup, aturan dapat merujuk alamat tanpa berpura-pura bahwa itu orang. Aliase yang mengelompokkan endpoint satu orang dapat mencapai layanan tertentu sementara aliase lain mencapai hal lain. Aliase menjadi objek yang dapat ditinjau, dan alamat menjadi detail penerapan di dalamnya.

Jaga tujuan dan port tetap eksplisit. Mengizinkan seluruh jaringan lokal dari seluruh kumpulan tunnel adalah rancangan yang justru hendak digantikan latihan ini.

Baca aturan floating, grup, dan antarmuka dalam urutan evaluasi sebenarnya, karena lintasan lebar yang lebih awal mengalahkan lintasan sempit yang kemudian. Mematikan penerusan internal antar klien menjaga lalu lintas sesama tetap di batas tempat aturan itu ditinjau. Aturan yang hanya ada di atas kertas bukan penegakan.

Uji kasus negatif

Coba empat koneksi baru: endpoint bernama, satu tanpa penimpaan sama sekali, layanan yang seharusnya dapat dijangkau, dan layanan yang tidak seharusnya. Endpoint yang tidak terdaftar adalah kasus penting, karena itulah yang hendak dihentikan rancangan ini. Jika ia terhubung, pemblokiran bawaan tidak menjalankan tugasnya.

Periksa IPv6 secara terpisah, karena kebijakan alamat IPv4 tidak mengatakan apa pun tentang tumpukan kedua. Lalu pastikan aplikasi masih mengotorisasi pengguna, karena alamat tunnel adalah fakta jaringan dan bukan bukti siapa yang ada di papan ketik. Kedua pemeriksaan termasuk dalam catatan penerimaan.

Terakhir, rencanakan migrasi. Penimpaan baru dan aturan sempit tidak mengubah sesi yang sudah terbentuk secara surut, jadi keadaan yang ada harus kedaluwarsa atau dihapus dengan sengaja.