Klien VPN dan LAN: kapan memakai zona terpisah

Menempatkan antarmuka tunnel di zona LAN adalah jalur terpendek menuju VPN yang berfungsi, dan biasanya itu nilai bawaan yang salah. Ini memberi klien jarak jauh kepercayaan yang sama dengan LAN berkabel, padahal tugas jarang menuntut hal itu. Zona terpisah berbiaya beberapa aturan dan membuat batas terlihat. Keputusannya bukan apakah zona lebih baik; melainkan syarat tiga apa yang berlaku pada jaringan Anda.

Nama zona tidak mengenkripsi apa pun dan tidak mengautentikasi pengguna. Ini hanya mengelompokkan antarmuka untuk model kebijakan firewall.

Apa yang sebenarnya dikendalikan keanggotaan zona

Zona mengelompokkan antarmuka atau lalu lintas dalam model firewall. Setelan input, output, dan forward-nya lalu mengatur peran yang berbeda. Input adalah lalu lintas ke router itu sendiri; forward adalah lalu lintas melaluinya ke host lain. Dokumentasi zona OpenWrt memperlakukan input, output, dan forward sebagai setelan terpisah justru karena alasan itu.

Izin dari zona VPN ke zona LAN bukan otomatis izin sebaliknya. Aturan forward bersifat terarah, dan aturan yang mengizinkan lalu lintas klien ke server tidak mengizinkan sesi server ke klien. Klien yang dapat membuka koneksi ke server bukan klien yang dapat dibuka koneksi balik oleh server.

Perbedaan itulah alasan zona terpisah berguna: Anda dapat menyatakan setiap arah dan setiap peran secara eksplisit. Tuliskan arah di samping setiap aturan.

Keputusan satu: input, forward, atau keduanya

Jika klien jarak jauh memerlukan DNS dari router, izinkan input hanya untuk layanan itu. Jika mereka perlu mencapai server berkas, izinkan forward ke tujuan itu. Sebagian besar rancangan VPN memerlukan keduanya, tetapi untuk layanan berbeda.

Akses input yang luas ke setiap layanan lokal hampir tidak pernah diperlukan. Perlakukan pengelolaan router sebagai keputusan terpisah dari akses aplikasi. Jika router hanya perlu menjawab DNS, tuliskan satu izin itu dan biarkan sisanya tertutup.

Keputusan dua: sumber daya apa yang diperlukan klien jarak jauh

Daftarkan rentang klien, tujuan, dan layanan yang harus disediakan VPN sebelum menulis aturan. Daftar tujuan lebih berguna daripada label kepercayaan, karena bertahan melewati migrasi firewall.

Jauhkan antarmuka pengelolaan dari akses aplikasi biasa. Klien jarak jauh yang dapat mencapai wiki tidak dengan sendirinya memerlukan halaman admin router atau konsol hypervisor.

Jika tujuan yang diizinkan dapat meneruskan lebih jauh, batas zona berhenti di firewall, bukan pada apa yang dilakukan tujuan sesudahnya.

Keputusan tiga: bagaimana Anda membuktikan batas

Uji alur yang diizinkan dan alur yang sengaja ditolak setelah setiap perubahan. Membuktikan satu situs web termuat tidak mengungkap izin luas yang tak disengaja. Uji dari rentang alamat klien VPN, bukan dari LAN, dan sertakan arah yang Anda perkirakan gagal. Catat kedua hasil di samping aturan.

Pertahankan akses pemulihan gateway sebelum mengubah kebijakan zona jarak jauh. Gunakan konfigurasi terkelola yang persisten daripada suntingan saat berjalan, atau reboot berikutnya akan memulihkan kepercayaan lama. Salinan konfigurasi sebelumnya, disimpan di luar perangkat, adalah rollback termurah yang akan Anda miliki.

Ketika jaringan tumbuh, dokumentasikan keanggotaan dan maksud aturan. Antarmuka yang baru dipasang tidak boleh mewarisi hak istimewa hanya karena seseorang memberinya nama zona yang nyaman.