Tveir hópar skjólstæðinga, einn þjónn: hvar á að framfylgja stefnunni

Að setja tvo hópa skjólstæðinga á mismunandi undirnet lítur út eins og einangrun, og er það ekki. Vistföng lýsa því hvaðan pakki virðist koma, en leyfi er ákvörðun sem sá tekur sem sendir hann áfram. Þeirri spurningu svarar stillingin en ekki gríman, svo ákveðið hvaða eining sendir jafningjauumferð áfram áður en þið skrifið nokkra reglu.

Undirnet er merki, ekki regla

Að úthluta einum laug fyrir hvern hóp gefur þér læsileg vistföng og ekkert annað. Skjólstæðingur sem samþykkir aukaleið hefur öðlast náanleika, og náanleiki er ekki heimild. Leyfið til að tala liggur í framsendingarákvörðuninni, sem getur búið í dæmonnum eða kjarnanum eftir því hvernig þjónninn er stilltur.

Eignarhald vistfangs er það sem gerir forskeyti nothæft sem hópval. Hver sannvottuð auðkenni verða að varpast á fyrirsjáanlegt vistfang eða svið, og sú vörpun bregst um leið og nokkrum tækjum deilir einni skírteini og einni úthlutun. Leystu auðkenni og samtíma fyrir því að treysta á upprunaforskeyti, því stefna sem giskar á hvaða vél hringir heimildar rangri á versta augnabliki.

Veldu leiðina sem flytur jafningjauumferð

Þegar dæmoninn sendir jafningjapakka innan eigin ferlis, ná þeir pakkar aldrei framsendingarkróknum hýsilsins, þannig að kjarnaregla getur ekki séð þá. Slökktu á þeirri innri framsendingu og kjarninn verður framsendingarpunkturinn, þar sem venjulegar framsendingarreglur gilda.

# peer forwarding inside the daemon: enforce with per-group policy instead of FORWARD rules
client-to-client
# kernel forwarding path: remove the line above, then filter in the forward chain

Afhlaðnar gagnarásir og þjónar sem varan stýrir birta eigin framfylgjulíkön, svo staðfestið hvort þið keyrið í stað þess að gera ráð fyrir hegðun samfélagsins. Bilunin sem er þess virði að forðast er regla sem lítur rétt út í yfirferð og er aldrei spurð að í keyrslu.

Skrifaðu fylkið áður en þú skrifar reglur

Stutt fylki er auðveldara í yfirferð en reglusett, og það er samningurinn sem útfærslan verður að uppfylla: jafningjar í sama hópi leyfðir, jafningjar milli hópa bannaðir, báðir hópar leyfðir að einni nafngreindri sameiginlegri þjónustu, allt annað bannað. Skrifið þessar fjórar línur áður en þið opnið eldveggsritil. Yfirferðarmaður sem les ekki reglusetningu getur samt prófað fylkið. Þá þarf útfærslan bara að passa við línurnar.

Haldið þremur áfangastöðuflokkum aðskildum meðan þið skrifið það. Þjónusta á VPN-hýslinum er staðbundin inntak, annar skjólstæðingur er jafningjaflutningur, og vél bak við gáttina er önnur framsendingarleið. Ein ríkuleg regla getur veitt alla þrjá fyrir slysni, og þannig breytist hópstefna í flatt net með aukaskrefum. Skrifið flokkinn við hverja röð svo viljinn lifi af næstu breytingu.

Settu reglurnar þar sem þær lifa af

Bætið ákvörðununum við á sama stað og restin af eldveggnum er viðhaldið, fyrir framan hvaða leyfisreglu sem myndi annars gleypa þær. Röð reglna er hluti stefnunnar, og rétt regla sett á eftir víðtæku leyfi framfylgir engu. Skráið númer reglnanna fyrir og eftir breytinguna. Stefna sem er til í ritli en ekki í keyrandi reglusetti er áætlun, ekki stýring.

Ákveðið hvað verður um strauma sem þegar eru til þegar stefnan breytist, því seta sem opnuð var fyrir breytinguna getur haldið áfram eftir hana. Ef brottfararmaður verður að missa aðgang strax þarf reglusettið leið til að ljúka því ástandi í stað þess að bíða eftir að tengingin lokist af sjálfu sér.

Gerðu reglurnar varanlegar með þeim búnaði sem á restina af eldveggnum, og skráðu fylkið við hlið þeirra. Óskráð stefna er leidd út aftur úr minni í næsta atviki, venjulega af einhverjum sem hefur hastverk.

Sannaðu það frá báðum hliðum

Prófið náanleika innan sama hóps, bilun milli hópa og sameiginlega þjónustu frá einum skjólstæðingi í hverjum hópi. Eitt próf frá einum skjólstæðingi sannar helming fylkisins, og sá helmingur sem sleppt er er venjulega sá rangri. Endurtakið bannstefnuna tvisvar, því skyndiminnið seta getur falið framfylgjumistök. Skráið hvaða par þið prófuðuð svo næsti maður endurtaki það ekki.

Endurtakið prófið á IPv6 ef göngin flytja það, og haldið venjulegri auðkenningu forrita. Upprunaforskeyti er ekki reikningur, svo að standast netstefnuna þýðir ekki að þjónusta eigi að treysta hringjandanum.