pfSense ішіндегі статикалық туннель мекенжайлары: қалау ма, әлде резервтеу ме?

Екі жоба қағазда ұқсас көрінеді және ереже оларға тәуелді болғанда мүлдем басқаша әрекет етеді. Біреуі клиенттік қайта анықтауға мекенжай жазады және мекенжайға жеке басы ретінде сенеді. Екіншісі динамикалық қабылдауды толық жабады, сондықтан соңғы нүкте не бірегей тағайындау алады, не қосылмайды. Тек екіншісі мекенжайды қорғауға болатын саясат кірісіне айналдырады, және айырмашылықты бірде-бір брандмауэр ережесін жазбас бұрын түсінуге тұрарлық.

Қайта анықтау мекенжайы шын мәнінде не уәде етеді

Клиентке тән қайта анықтау әр клиентке арналған параметрлерді қамтиды, соның ішінде қалаған туннель мекенжайы. Netgate бұл мекенжайды резервтеу емес, қалау ретінде сипаттайды, яғни динамикалық пул мекенжайды басқа біреуге бермейді.

Бұл әдетте қалыпты. Соқтығысу сирек, және клиент әдетте сұрағанын алады, бұл ыңғайлылыққа жетеді және авторизацияға жетпейді. Ыңғайлылық пен авторизация әртүрлі талаптар, және соқтығысудан тек біреуі аман қалады.

Ішкі желі топологиясында өріс клиент мекенжайын сервер желісінің маскасымен бірге қабылдайды, сондықтан 10.90.0.0/24 туннелінің ішіндегі мекенжай 10.90.0.10/24 деп жазылады.

Осының ешқайсысы нөмірді резервтемейді. Қайта анықтауы сәйкес келмеген клиент немесе қайталанған сессия пулдың басқа жерінде аяқталуы мүмкін, және мекенжайға негізделген ереже сонда ол жерде жоқ біреуді сипаттайды.

Динамикалық жолды шектелген әдепкі мәнмен жабыңыз

Балама — тек статикалық жұмыс істейтін сервер: қабылданған әр соңғы нүктенің өз жеке басы және өз бірегей мекенжайы бар, және басқа ештеңе кірмейді.

Оны іске асыру қосылымдарды блоктау қосылған және сол бір серверге шектелген DEFAULT қайта анықтауын білдіреді. Сәйкес келетін қайта анықтауы жоқ клиент енді әдеттегі динамикалық қабылдауға орала алмайды. Қалауды жабық жиынға айналдыратын дәл сол бір жол.

Қамту маңызды. Құрылғыдағы әр VPN данасына қолданылатын әдепкі қайта анықтау байланыссыз туннельдерді жабады, және бұл ақау саясат шешімінен гөрі бұзылған қызметке ұқсайды. Оны қабылдау моделін өзгертіп жатқан жалғыз серверге байланыстырыңыз. Содан кейін қамтуды өзгерістер журналына белгілеңіз, өйткені келесі адам оның қай туннельге тиесілі екенін есіне түсірмейді.

Содан кейін рұқсат етілген жиынның барлығын тексеріңіз. Әдепкі блоктау мекенжайсыз қалған атаулы қайта анықтауды түзетпейді, және сол соңғы нүкте себебі туралы айқын белгісіз қосыла алмайды.

Сервер шын мәнінде қолданатын жеке басымен сәйкестендіріңіз

Қайта анықтау бір нәрсемен сәйкеседі. Сертификаттардың ортақ атауларын сәйкестендіретін серверде қайта анықтау атауы сол ортақ атау болуы керек, адамның көрсетілетін аты емес. Оны тіркелгілер тізімінен емес, сертификаттан көшіріңіз.

Пайдаланушы атын ортақ атау ретінде қолдануға конфигурацияланған сервер мүлдем басқа кілтпен сәйкестендіреді, және сертификат бойынша аталған қайта анықтау ешқашан іске қосылмайды. Параметрді тіркелгілер тізімі көрсеткеннен шығармай, оқыңыз.

Орналастыру талап ететін қосымша аутентификация факторларын сақтаңыз. Жабық мекенжай моделі кімнің қосыла алатынын және қандай мекенжай алатынын өзгертеді; ол сертификат тексеруін немесе екінші факторды алмастырмайды.

Қатынау ережелерін карта дұрыс болғаннан кейін жазыңыз

Жеке бас пен мекенжай картасы жабылғаннан кейін ережелер мекенжайларға адамдар деп көрсетпей сілтеме жасай алады. Бір адамның соңғы нүктелерін топтайтын бүркеншік ат белгілі бір қызметке жете алады, ал басқа бүркеншік ат басқа нәрсеге жетеді. Бүркеншік ат тексерілетін нысанға айналады, ал мекенжай оның ішіндегі іске асыру бөлшегіне айналады.

Межелі орындар мен порттарды ашық ұстаңыз. Бүкіл туннель пулынан бүкіл жергілікті желіге рұқсат беру — бұл жаттығу ауыстыруы тиіс дизайнның дәл өзі.

Жүзбелі, топтық және интерфейстік ережелерді нақты бағалау ретімен оқыңыз, өйткені бұрынғы кең өту кейінгі тар өтуді жояды. Клиенттер арасындағы ішкі бағыттауды өшіру теңдес трафикті осы ережелер қаралатын шекарада ұстайды. Тек қағазда бар ереже — бұл орындау емес.

Теріс жағдайларды сынап көріңіз

Төрт жаңа қосылымды сынап көріңіз: атаулы соңғы нүкте, мүлдем қайта анықтаусыз біреуі, қолжетімді болуы керек қызмет және болмауы керек қызмет. Тізімде жоқ соңғы нүкте — маңызды жағдай, өйткені дизайн дәл оны тоқтату үшін бар. Егер ол қосылса, әдепкі блоктау өз жұмысын істемейді.

IPv6-ны бөлек тексеріңіз, өйткені IPv4 мекенжай саясаты екінші стек туралы ештеңе айтпайды. Содан кейін қолданба пайдаланушыны әлі де авторизациялайтынын растаңыз, өйткені туннель мекенжайы — желілік факт, пернетақтада кім отырғанының дәлелі емес. Екі тексеру де қабылдау жазбасына тиесілі.

Соңында көшіруді жоспарлаңыз. Жаңа қайта анықтаулар мен тар ережелер бұрыннан орнатылған сессияларды кері өзгертпейді, сондықтан бар күйлер аяқталуы немесе әдейі тазалануы керек.