Stöðug gönguvistföng í pfSense: val eða bókun?

Tvær hönnun líta svipað út á pappír og hegða sér mjög ólíkt þegar regla ræðst af þeim. Önnur slær inn vistfang í yfirskrift biðlara og treystir vistfanginu sem auðkenni. Hin lokar dýnamískri inntöku alveg, þannig að endapunktur hefur annaðhvort einstaka úthlutun eða tengist ekki. Aðeins sú seinni gerir vistfang að stefnuinntaki sem þú getur varið, og það er þess virði að skilja muninn áður en þú skrifar eina einustu eldveggjarreglu.

Hvað yfirskriftarvistfang lofar í raun

Yfirskrift sem er sértæk fyrir biðlara ber valkosti fyrir hvern biðlara, þar á meðal valið gönguvistfang. Netgate lýsir því vistfangi sem vali frekar en bókun, sem þýðir að dýnamíski hópurinn gefur vistfangið ekki frá sér fyrir aðra.

Það er yfirleitt í lagi. Árekstur er sjaldgæfur, og biðlarinn fær yfirleitt það sem hann bað um, sem er nóg fyrir þægindi og ekki nóg fyrir heimild. Þægindi og heimild eru ólíkar kröfur, og aðeins önnur þeirra lifir af árekstur.

Með undirnetshnitkerfi tekur reiturinn vistfang biðlarans ásamt grímun þjónnetsins, svo vistfang inni í 10.90.0.0/24 göngum er skrifað sem 10.90.0.10/24.

Ekkert af þessu bókar númerið. Biðlari sem yfirskriftin passar ekki við, eða tvítekin lota, getur endað annars staðar í hópnum, og regla sem byggir á vistfanginu lýsir þá einhverjum sem er ekki þar.

Lokaðu dýnamísku leiðinni með skilyrtu sjálfgefnu gildi

Valkosturinn er netþjónn sem er eingöngu kyrrstæður: hver endapunktur sem er tekinn inn hefur eigið auðkenni og eigið einstakt vistfang, og ekkert annað kemst inn.

Að innleiða það þýðir DEFAULT-yfirskrift sem er takmörkuð við þann eina netþjón með tengingablokkun virkri. Biðlari án samsvarandi yfirskriftar getur þá ekki fallið aftur á venjulega dýnamíska inntöku. Þessi eina lína er það sem breytir vali í lokað mengi.

Umfang skiptir máli. Sjálfgefin yfirskrift sem er beitt á hvert VPN-tilvik á tækinu mun læsa ótengdum göngum, og sá bilun lítur út eins og biluð þjónusta frekar en stefnuákvörðun. Bindðu hana við þann eina netþjón sem þú ert að breyta inntökulíkani hjá. Skráðu síðan umfangið í breytingaskrána, því næsta manneskja mun ekki muna hvaða göngum hún tilheyrir.

Farðu síðan yfir allt leyft mengið. Sjálfgefna blokkunin lagar ekki nefnda yfirskrift sem var skilin eftir án vistfangs, og sá endapunktur mun einfaldlega mistakast að tengjast án skýrrar vísbendingar um hvers vegna.

Passaðu við auðkennið sem netþjónninn notar í raun

Yfirskrift passar við eitthvað. Á netþjóni sem passar við almenn nöfn skírteina verður nafn yfirskriftarinnar að vera það almenna nafn, ekki skjáheiti einstaklingsins. Afritaðu það úr skírteininu frekar en úr reikningslistanum.

Netþjónn sem er stilltur á að nota notandanafnið sem almennt nafn passar við gjörólíkan lykil, og yfirskrift sem er nefnd eftir skírteininu mun aldrei virkjast. Lestu stillinguna frekar en að álykta hana út frá því sem reikningslistinn sýnir.

Haltu viðbótarþáttum auðkenningar sem uppsetningin krefst. Lokað vistfangalíkan breytir því hver má tengjast og hvaða vistfang hann fær; það kemur ekki í stað skírteinaskoðunarinnar eða annars þáttar.

Skrifaðu aðgangsreglurnar þegar kortið er traust

Þegar kortið frá auðkenni til vistfangs er lokað geta reglur vísað í vistföng án þess að þykjast þau séu fólk. Samheiti sem flokkar endapunkta eins einstaklings getur náð ákveðinni þjónustu á meðan annað samheiti nær einhverju öðru. Samheitið verður yfirfaranlegt fyrirbæri, og vistfangið verður innleiðingaratriði inni í því.

Haltu áfangastöðum og portum skýrum. Að leyfa allt staðbundið net frá öllum gögumhópnum er einmitt hönnunin sem þessi æfing átti að koma í staðinn fyrir.

Lestu fljótandi, hópa- og tengireglur í raunverulegri matsröð þeirra, því fyrri breiður gangur vinnur bug á síðari þröngum. Að slökkva á innri sendingum milli biðlara heldur jafningjaliðsferðum við landamærin þar sem þessar reglur eru yfirfarnar. Regla sem er aðeins til á pappír er ekki framkvæmd.

Prófaðu neikvæðu tilvikin

Prófaðu fjögur ný tenging: nefndan endapunkt, einn algjörlega án yfirskriftar, þjónustu sem ætti að vera aðgengileg og eina sem ætti ekki að vera það. Endapunkturinn sem er ekki á listanum er mikilvæga tilvikið, því hönnunin er til að stöðva hann. Ef hann tengist er sjálfgefna blokkunin ekki að gera sitt.

Athugaðu IPv6 sérstaklega, því IPv4-vistfangastefna segir ekkert um annan stafla. Staðfestu síðan að forritið heimili notandann enn, því gönguvistfang er netstaðreynd og ekki sönnun um hver er við lyklaborðið. Báðar athuganirnar eiga heima í samþykkisathugasemdinni.

Að lokum skaltu skipuleggja flutninginn. Nýjar yfirskriftir og þröngar reglur breyta ekki þegar settum lotum afturvirkt, svo núverandi stöður verða að renna út eða vera hreinsaðar viljandi.