სტატიკური გვირაბის მისამართები pfSense-ში: უპირატესობა თუ დაჯავშნა?

ორი დიზაინი ქაღალდზე მსგავსად გამოიყურება და სრულიად განსხვავებულად იქცევა, როცა წესი მათზეა დამოკიდებული. ერთი მისამართს წერს კლიენტის გადაფარვაში და მისამართს იდენტობად ენდობა. მეორე მთლიანად ხურავს დინამიკურ დაშვებას, ასე რომ ბოლო წერტილს ან უნიკალური მინიჭება აქვს, ან არ უკავშირდება. მხოლოდ მეორე აქცევს მისამართს დასაცავ პოლიტიკის შეყვანად, და განსხვავება ღირს გაგებად სანამ ერთი ცეცხლის კედლის წესს დაწერთ.

რას გვპირდება სინამდვილეში გადაფარვის მისამართი

კლიენტზე სპეციფიკური გადაფარვა ატარებს თითოეული კლიენტის პარამეტრებს, მათ შორის სასურველ გვირაბის მისამართს. Netgate ამ მისამართს უპირატესობად აღწერს და არა დაჯავშნად, რაც ნიშნავს, რომ დინამიკური აუზი მისამართს სხვას არ უთმობს.

ეს ჩვეულებრივ ნორმალურია. შეჯახება იშვიათია და კლიენტი ჩვეულებრივ იღებს იმას, რაც მოითხოვა, რაც საკმარისია მოხერხებულობისთვის და არ არის საკმარისი ავტორიზაციისთვის. მოხერხებულობა და ავტორიზაცია განსხვავებული მოთხოვნებია და შეჯახებას მხოლოდ ერთი მათგანი გადაურჩება.

ქვექსელის ტოპოლოგიით ველი იღებს კლიენტის მისამართს სერვერის ქსელის ნიღაბთან ერთად, ამიტომ 10.90.0.0/24 გვირაბის შიგნით მისამართი იწერება როგორც 10.90.0.10/24.

ამ ყველაფრისგან არაფერი ჯავშნის ნომერს. კლიენტი, რომლის გადაფარვაც არ ემთხვევა, ან გაორმაგებული სესია შეიძლება აუზის სხვა ადგილას აღმოჩნდეს, და მისამართზე დაფუძნებული წესი მაშინ აღწერს ვინმეს, ვინც იქ არ არის.

დახურეთ დინამიკური გზა შეზღუდული ნაგულისხმევით

ალტერნატივაა მხოლოდ სტატიკური სერვერი: ყოველ მიღებულ ბოლო წერტილს აქვს საკუთარი იდენტობა და საკუთარი უნიკალური მისამართი, და სხვა არაფერი შემოდის.

მისი დანერგვა ნიშნავს DEFAULT გადაფარვას, რომელიც შემოიფარგლება მხოლოდ იმ ერთი სერვერით და ჩართულია კავშირების ბლოკირება. შესაბამისი გადაფარვის გარეშე კლიენტი მაშინ ვერ დაუბრუნდება ჩვეულებრივ დინამიკურ დაშვებას. სწორედ ის ერთი ხაზი აქცევს უპირატესობას დახურულ სიმრავლედ.

მოცულობას მნიშვნელობა აქვს. მოწყობილობის ყველა VPN ინსტანციაზე გამოყენებული ნაგულისხმევი გადაფარვა ჩაკეტავს დაუკავშირებელ გვირაბებს, და ეს უკმარისობა გატეხილ სერვისს ჰგავს და არა პოლიტიკის გადაწყვეტილებას. მიაბით იგი იმ ერთ სერვერს, რომლის დაშვების მოდელსაც ცვლით. შემდეგ ჩაწერეთ მოცულობა ცვლილებების ჟურნალში, რადგან შემდეგ ადამიანს არ ემახსოვრება რომელ გვირაბს ეკუთვნის.

შემდეგ შეამოწმეთ მთელი დაშვებული სიმრავლე. ნაგულისხმევი ბლოკირება არ ასწორებს მისამართის გარეშე დატოვებულ დასახელებულ გადაფარვას, და ის ბოლო წერტილი უბრალოდ ვერ დაუკავშირდება მიზეზის მკაფიო მინიშნების გარეშე.

შეესაბამეთ იდენტობას, რომელსაც სერვერი რეალურად იყენებს

გადაფარვა რაღაცას ემთხვევა. სერვერზე, რომელიც სერტიფიკატების საერთო სახელებს ადარებს, გადაფარვის სახელი უნდა იყოს სწორედ ის საერთო სახელი და არა პიროვნების ჩვენების სახელი. დააკოპირეთ იგი სერტიფიკატიდან და არა ანგარიშების სიიდან.

სერვერი, რომელიც კონფიგურირებულია მომხმარებლის სახელის საერთო სახელად გამოსაყენებლად, სრულიად სხვა გასაღებზე ადარებს, და სერტიფიკატის სახელზე დარქმეული გადაფარვა არასოდეს ამუშავდება. წაიკითხეთ პარამეტრი და ნუ გამოიტანთ მას ანგარიშების სიიდან.

შეინარჩუნეთ განლაგების მიერ მოთხოვნილი დამატებითი ავთენტიფიკაციის ფაქტორები. დახურული მისამართების მოდელი ცვლის ვის შეუძლია დაკავშირება და რომელ მისამართს მიიღებს; ის არ ცვლის სერტიფიკატის შემოწმებას ან მეორე ფაქტორს.

დაწერეთ წვდომის წესები მას შემდეგ, რაც რუკა სწორი იქნება

მას შემდეგ, რაც იდენტობიდან მისამართამდე რუკა დახურულია, წესებს შეუძლიათ მიმართონ მისამართებს იმის გარეშე, რომ ისინი ადამიანებად მოაჩინონ. ერთი ადამიანის ბოლო წერტილების დამაჯგუფებელ ფსევდონიმს შეუძლია კონკრეტულ სერვისამდე მიაღწიოს, ხოლო სხვა ფსევდონიმი სხვა რამეს აღწევს. ფსევდონიმი ხდება გადასინჯვადი ობიექტი, და მისამართი ხდება მის შიგნით დანერგვის დეტალი.

შეინარჩუნეთ დანიშნულებები და პორტები ცხადად. მთელი ლოკალური ქსელის დაშვება მთელი გვირაბის აუზიდან სწორედ ის დიზაინია, რომელიც ამ სავარჯიშოს უნდა შეეცვალა.

წაიკითხეთ მცურავი, ჯგუფური და ინტერფეისის წესები მათი რეალური შეფასების რიგით, რადგან ადრინდელი ფართო გავლა აუქმებს გვიანდელ ვიწროს. კლიენტებს შორის შიდა გადაცემის გამორთვა ინარჩუნებს თანატოლთა ტრაფიკს იმ საზღვარზე, სადაც ეს წესები გადაიხედება. წესი, რომელიც მხოლოდ ქაღალდზე არსებობს, აღსრულება არ არის.

გამოსცადეთ უარყოფითი შემთხვევები

სცადეთ ოთხი ახალი კავშირი: დასახელებული ბოლო წერტილი, ერთი სრულიად გადაფარვის გარეშე, სერვისი, რომელიც ხელმისაწვდომი უნდა იყოს და ერთიც, რომელიც არ უნდა იყოს. სიაში არმყოფი ბოლო წერტილი მთავარი შემთხვევაა, რადგან დიზაინი სწორედ მის შესაჩერებლად არსებობს. თუ ის დაუკავშირდა, ნაგულისხმევი ბლოკირება თავის საქმეს არ ასრულებს.

ცალკე შეამოწმეთ IPv6, რადგან IPv4 მისამართების პოლიტიკა არაფერს ამბობს მეორე დასტაზე. შემდეგ დაადასტურეთ, რომ აპლიკაცია კვლავ ავტორიზებს მომხმარებელს, რადგან გვირაბის მისამართი ქსელური ფაქტია და არა მტკიცებულება იმისა, თუ ვინ ზის კლავიატურასთან. ორივე შემოწმება მისაღების ჩანაწერს ეკუთვნის.

საბოლოოდ, დაგეგმეთ მიგრაცია. ახალი გადაფარვები და ვიწრო წესები უკუქცევით არ ცვლის უკვე დამყარებულ სესიებს, ამიტომ არსებული მდგომარეობები უნდა ამოიწუროს ან განზრახ გასუფთავდეს.