VPN клиенттері және LAN: қашан бөлек аймақ қолдану керек

Туннель интерфейсін LAN аймағына қою жұмыс істейтін VPN-ге ең қысқа жол, және әдетте бұл қате әдепкі мән. Бұл қашықтағы клиентке сымды LAN-дағыдай сенім береді, ал тапсырма мұны сирек талап етеді. Бөлек аймақ бірнеше ережеге тұрады және шекараны көрінетін етеді. Шешім аймақтардың жақсырақ па екенінде емес; қай үш шарттың желіңізге қатысты екенінде.

Аймақ атауы ештеңені шифрламайды және пайдаланушыны аутентификацияламайды. Ол тек интерфейстерді firewall-дың саясат моделі үшін топтайды.

Аймақ мүшелігі шын мәнінде нені басқарады

Аймақ интерфейстерді немесе трафикті firewall моделінде топтайды. Оның кіру, шығу және жіберу параметрлері содан кейін түрлі рөлдерді басқарады. Кіру — маршрутизатордың өзіне баратын трафик; жіберу — ол арқылы басқа хостқа баратын трафик. OpenWrt-тің аймақтар туралы құжаттамасы дәл осы себептен кіру, шығу және жіберуді бөлек параметрлер деп қарастырады.

VPN аймағынан LAN аймағына берілген рұқсат автоматты түрде кері рұқсат емес. Жіберу ережелері бағытты, және клиенттен серверге трафикке рұқсат беретін ереже серверден клиентке сессияларға рұқсат бермейді. Серверге қосылым аша алатын клиент — сервердің кері қосылым аша алатын клиенті емес.

Осы айырмашылық бөлек аймақтың пайдалы болу себебі: әр бағытты және әр рөлді анық көрсете аласыз. Әр ереженің жанына бағытты жазыңыз.

Бірінші шешім: кіру, жіберу немесе екеуі де

Егер қашықтағы клиенттерге маршрутизатордан DNS қажет болса, кіруді тек сол қызметке рұқсат етіңіз. Егер олар файлдық серверге жетуі керек болса, сол тағайындалған жерге жіберуге рұқсат етіңіз. VPN жобаларының көбісі екеуін де қажет етеді, бірақ түрлі қызметтер үшін.

Әрбір жергілікті қызметке кең кіру қолжетімділігі дерлік ешқашан қажет емес. Маршрутизаторды басқаруды қолданбаларға қолжетімділіктен бөлек шешім деп қарастырыңыз. Егер маршрутизатор тек DNS-ке жауап беруі керек болса, сол бір рұқсатты жазып, қалғанын жабық қалдырыңыз.

Екінші шешім: қашықтағы клиенттерге қандай ресурстар қажет

Ережелерді жазбас бұрын клиент ауқымдарын, тағайындалған жерлерді және VPN ұсынуы тиіс қызметтерді тізіңіз. Тағайындалған жерлер тізімі сенім белгісінен пайдалырақ, өйткені ол firewall көшірілуінен аман қалады.

Басқару интерфейстерін қарапайым қолданба қолжетімділігінен бөлек ұстаңыз. Уикиге жететін қашықтағы клиент бұған байланысты маршрутизатордың әкімші бетіне немесе гипервизор консоліне мұқтаж емес.

Егер рұқсат етілген жер әрі қарай жібере алса, аймақ шекарасы firewall-да тоқтайды, жер кейін не істейтінінде емес.

Үшінші шешім: шекараны қалай дәлелдейсіз

Әр өзгерістен кейін рұқсат етілген ағынды және әдейі қабылданбаған ағынды сынаңыз. Бір сайттың жүктелетінін дәлелдеу кездейсоқ кең рұқсатты ашпайды. VPN клиентінің мекенжай ауқымынан сынаңыз, LAN-нан емес, және сәтсіздік күтетін бағытты қосыңыз. Екі нәтижені де ереженің жанына жазыңыз.

Қашықтағы аймақ саясатын өзгерту алдында шлюздің қалпына келтіру қолжетімділігін сақтаңыз. Жұмыс уақытындағы түзетулердің орнына тұрақты басқарылатын конфигурацияны қолданыңыз, әйтпесе келесі қайта жүктеу ескі сенімді қалпына келтіреді. Алдыңғы конфигурацияның құрылғыдан тыс сақталған көшірмесі — сізде болатын ең арзан қайтару.

Желі өскен сайын мүшелікті және ережелердің мақсатын құжаттаңыз. Жаңа қосылған интерфейс біреу оған ыңғайлы аймақ атауын берді деп қана артықшылықтарды мұрагерлікке алмауы керек.