VPN-biðlar og staðarnetið: hvenær á að nota sérstakt svæði

Að setja tunnilviðmótið í staðarnetssvæðið er stysta leiðin að virku VPN, og það er venjulega röng sjálfgefin stilling. Það veitir fjartengdum biðli sama traust og kapaltengda staðarnetið hefur, sem verkefnið krefst sjaldan. Sérstakt svæði kostar nokkrar reglur og gerir mörkin sýnileg. Ákvörðunin er ekki hvort svæði séu betri; heldur hvaða þrjú skilyrði eiga við netið þitt.

Heiti svæðisins dulkóðar ekkert og auðkennir engan notanda. Það hópar aðeins viðmót fyrir stefnumótunarlíkan eldveggsins.

Hvað svæðisaðild stýrir í raun

Svæði hópar viðmót eða umferð í líkani eldveggsins. Stillingar þess fyrir innstreymi, útstreymi og áframsendingu stýra síðan mismunandi hlutverkum. Innstreymi er umferð til leiðarans sjálfs; áframsending er umferð í gegnum hann til annars hýsils. Skjöl OpenWrt um svæði meðhöndla innstreymi, útstreymi og áframsendingu sem aðskildar stillingar einmitt vegna þessa.

Heimild frá VPN-svæðinu til staðarnetssvæðisins er ekki sjálfkrafa öfug heimild. Áframsendingarreglur eru stefnubundnar, og regla sem leyfir umferð frá biðli til netþjóns leyfir ekki lotur frá netþjóni til biðils. Biðill sem getur opnað tengingu til netþjóns er ekki biðill sem netþjónninn getur opnað tengingu til baka til.

Sá munur er ástæðan fyrir því að sérstakt svæði er gagnlegt: þú getur tilgreint hverja stefnu og hvert hlutverk skýrt. Skrifaðu stefnuna við hverja reglu.

Ákvörðun eitt: innstreymi, áframsending eða hvort tveggja

Ef fjartengdir biðlar þurfa DNS frá leiðaranum, leyfðu innstreymi aðeins fyrir þá þjónustu. Ef þeir þurfa að ná til skráarþjóns, leyfðu áframsendingu til þess áfangastaðar. Flestar VPN-hönnun þurfa hvort tveggja, en fyrir mismunandi þjónustur.

Breitt innstreymisaðgengi að hverri staðbundinni þjónustu er næstum aldrei nauðsynlegt. Meðhöndlaðu stjórnun leiðarans sem aðskilda ákvörðun frá aðgengi að forritum. Ef leiðarinn þarf aðeins að svara DNS, skrifaðu þá einu heimild og láttu restina vera lokaða.

Ákvörðun tvö: hvaða auðlindir fjartengdir biðlar þurfa

Skráðu biðlasviðin, áfangastaðina og þjónusturnar sem VPN-ið á að veita áður en þú skrifar reglur. Listi yfir áfangastaði er gagnlegri en traustsmerki, því hann lifir af flutning eldveggsins.

Haltu stjórnviðmótum aðskildum frá venjulegu aðgengi að forritum. Fjartengdur biðill sem nær wiki þarf ekki af þeim sökum stjórnsíðu leiðarans eða stjórnborð hypervisorsins.

Ef leyfður áfangastaður getur áframsent lengra, stöðvast svæðismörkin við eldvegginn, ekki við það sem áfangastaðurinn gerir næst.

Ákvörðun þrjú: hvernig þú sannar mörkin

Prófaðu leyfða flæði og eina viljandi hindraða eftir hverja breytingu. Að sanna að ein vefsíða hlaðist afhjúpar ekki óviljandi breiða heimild. Prófaðu frá vistfangasviði VPN-biðilsins, ekki frá staðarnetinu, og hafðu með stefnuna sem þú býst við að mistakist. Skráðu bæði niðurstöðurnar við regluna.

Varðveittu endurheimtaraðgang hliðsins áður en þú breytir stefnu fjarsvæðisins. Notaðu varanlega stýrða stillingu í stað breytinga á keyrslutíma, annars mun næsta endurræsing endurheimta gamla traustið. Afrit af fyrri stillingu, geymt utan tækisins, er ódýrasta afturköllunin sem þú færð nokkurn tíma.

Þegar netið stækkar, skjalfestu aðild og tilgang reglnanna. Nýtengt viðmót ætti ekki að erfa sérréttindi bara af því að einhver gaf því hentugt svæðisheiti.