Екі клиент тобы, бір сервер: саясатты қай жерде қолдану керек

Екі клиент тобын әртүрлі ішкі желілерге орналастыру оқшаулау сияқты көрінеді, бірақ олай емес. Мекенжайлар пакет қайдан келген сияқты көрінетінін сипаттайды, ал рұқсат — оны жіберетін нәрсенің шешімі. Бұл сұраққа маска емес, конфигурация жауап береді, сондықтан кез келген ереже жазбас бұрын теңдестер трафигін қай компонент жіберетінін шешіңіз.

Ішкі желі — белгі, ереже емес

Әр топқа бір пул бөлу оқылатын мекенжайларды береді, одан басқа ештеңе жоқ. Қосымша маршрутты қабылдаған клиент қолжетімділікке ие болды, ал қолжетімділік — авторизация емес. Сөйлеу рұқсаты жіберу шешімінде, ол сервердің конфигурациясына қарай демонда немесе ядрода болуы мүмкін.

Мекенжай иелігі префиксті топ таңдаушысы ретінде пайдалануға жарамды етеді. Әрбір аутентификацияланған тұлға болжамды мекенжайға немесе диапазонға сәйкес келуі керек, және бірнеше құрылғы бір тіркелгі деректерін және бір тағайындауды бөліскен бойда бұл сәйкестік бұзылады. Бастауыш префикске сенбес бұрын сәйкестік пен бірмезгілділікті шешіңіз, өйткені қай машина қоңырау шалып жатқанын болжайтын саясат ең нашар сәтте қатесін рұқсат етеді.

Теңдестер трафигін тасымалдайтын жолды таңдаңыз

Демон теңдестер пакеттерін өз процесінің ішінде жібергенде, бұл пакеттер хосттың жіберу ілгегіне ешқашан жетпейді, сондықтан ядро ережесі оларды көре алмайды. Сол ішкі жіберуді өшіріңіз, және ядро кәдімгі жіберу ережелері қолданылатын жіберу нүктесіне айналады.

# peer forwarding inside the daemon: enforce with per-group policy instead of FORWARD rules
client-to-client
# kernel forwarding path: remove the line above, then filter in the forward chain

Жүктемеден шығарылған деректер арналары және өнім басқаратын серверлер өздерінің орындау модельдерін жариялайды, сондықтан қауымдастық мінез-құлқын болжаудың орнына қайсысын іске қосып жатқаныңызды растаңыз. Болдырмауға тұрарлық ақау — шолуда дұрыс көрінетін және орындалу кезінде ешқашан сұралмайтын ереже.

Ережелерді жазудан бұрын матрицаны жазыңыз

Қысқа матрицаны ережелер жиынтығына қарағанда шолу оңайырақ, және ол іске асыру орындауға тиіс шарт: бір топтың теңдестері рұқсат етілген, топтар арасындағы теңдестер тыйым салынған, екі топ та бір атаулы ортақ қызметке рұқсат алған, қалғанының бәріне тыйым салынған. Өрт қабырғасының редакторын ашпас бұрын осы төрт жолды жазыңыз. Ереже синтаксисін оқымайтын шолушы да матрицаны тексере алады. Содан кейін іске асыру тек жолдарға сәйкес келуі керек.

Жазу кезінде үш мақсат класын бөлек ұстаңыз. VPN хостындағы қызмет — жергілікті кіріс, басқа клиент — теңдестер транзиті, ал шлюздің артындағы машина — басқа жіберу жолы. Бір жомарт ереже үшеуін де кездейсоқ бере алады, және осылайша топ саясаты қосымша қадамдары бар тегіс желіге айналады. Әр жолдың қасына класты жазыңыз, сонда ниет келесі өңдеуде де сақталады.

Ережелерді тірі қалатын жерге қойыңыз

Шешімдерді өрт қабырғасының қалған бөлігі күтілетін жерге, оларды әйтпесе жұтып қоятын кез келген рұқсат етуші ережеден бұрын қосыңыз. Ережелер реті саясаттың бөлігі, және кең рұқсаттан кейін қойылған дұрыс ереже ештеңе орындамайды. Өзгеріс алдында және кейін ереже нөмірлерін жазып алыңыз. Редакторда бар, бірақ жұмыс істеп тұрған ережелер жиынтығында жоқ саясат — жоспар, бақылау емес.

Саясат өзгергенде бұрыннан бар ағындарға не болатынын шешіңіз, өйткені өзгеріске дейін ашылған сеанс одан кейін жалғасуы мүмкін. Кетіп бара жатқан мүше қолжетімділікті бірден жоғалтуға тиіс болса, ережелер жиынтығына қосылымның өзі жабылуын күтудің орнына сол күйді тоқтату тәсілі қажет.

Ережелерді өрт қабырғасының қалған бөлігіне ие механизм арқылы тұрақты етіңіз және матрицаны олардың қасына жазыңыз. Тіркелмеген саясат келесі оқиға кезінде жадтан қайта шығарылады, әдетте асығыс адамның қолымен.

Екі жақтан дәлелдеңіз

Әр топтағы бір клиенттен бір топ ішіндегі қолжетімділікті, топтар арасындағы сәтсіздікті және ортақ қызметті тексеріңіз. Бір клиенттен бір тексеру матрицаның жартысын дәлелдейді, ал тыс қалған жартысы әдетте қатесі. Тыйым бағытын екі рет қайталаңыз, өйткені кэштелген сеанс орындау қатесін жасыра алады. Қай жұпты тексергеніңізді жазыңыз, келесі адам оны қайталамасын.

Туннель IPv6 тасымалдаса, тексеруді сол хаттамада қайталаңыз және кәдімгі қолданба аутентификациясын орнында қалдырыңыз. Бастауыш префикс — тіркелгі емес, сондықтан желілік саясаттан өту қызмет қоңырау шалушыға сенуі керек дегенді білдірмейді.