VPN пайдаланушыларына ішкі желіге емес, бір қызметке қатынас беріңіз

Мердігерге бір ішкі веб-қолданба керек, басқа ештеңе емес, және оңай жауап — оған сервердің ішкі желісіне туннель беру. Бұл ол оны сканерлейтін күнге дейін жұмыс істейді. Неғұрлым тар дизайн көбірек ойды талап етеді, өйткені қолжетімділік, маршруттау және қолданба рұқсаты келісуі керек үш бөлек бақылау болып табылады.

Талапты ішкі желі ретінде емес, қызмет ретінде жазыңыз

Мақсатты хосттан, протоколдан және порттан бастаңыз, содан кейін оған жетуі керек пайдаланушы немесе құрылғы тобын қосыңыз. Жеке DNS аймағын қолданба атауды шешсе ғана қосыңыз, ал сәйкестендіру провайдерін кіру ағынына қажет болса ғана қосыңыз. Қалғанының бәрі — әлі негіздемеген тәуелділік.

Ішкі желі — желілік топтың іске асыру бөлшегі, ал қызмет — бизнес сұраған нәрсе және қаралып, тоқтатылуы мүмкін бірлік.

Тәуелділіктер тізімі үш тармақтан асса, қолданбаға өзінің дизайн әңгімесі қажет болуы мүмкін.

Тар маршруттаңыз, бірақ орындауды басқа жерде жасаңыз

Тар маршрут немесе селектор туннельге қандай пакеттерді тасымалдау керектігін айтады; бұл авторизация саясаты емес. Шлюз сүзгісі, мақсатты хосттың брандмауэры және қолданбаның өз рұқсат моделі — қатынас шешілетін орындар. Бір мекенжайды қамтитын маршрут жақсы бастама, және ол шешім қабылдаған пайдаланушыны тоқтататын бақылау емес. Дәл осы бөлу туннельді қайта жобаламай-ақ сүзгіні өзгертуге мүмкіндік береді.

Керісінше, қатаң сүзгісі бар кең маршрут заңды болуы мүмкін, бірақ оған қатысқандардың бәрі қайсысы орындауды жүргізетінін білсе ғана.

Орындау нүктесін нақты құжаттаңыз, әйтпесе келесі өзгеріс оны абайсызда жылжытады.

Қызмет шын мәнінде көретін көзді тексеріңіз

Мақсат не клиент пулының мекенжайын, не шлюздің мекенжайын көреді, аударасыз ба, жоқ па — соған байланысты. Хосттың брандмауэр ережелері мен журналдары нақты көзге сәйкес болуы керек. Егер бірнеше пайдаланушы аударылған көзді бөліссе, сол хосттағы ешбір пайдаланушы бойынша ереже оларды ажырата алмайды, және бұл дизайн шектеуі, қате емес.

Аударманы әдейі таңдаңыз: ол маршруттауды жеңілдетеді және көздің сәйкестігін жояды, бұл аудит пен пайдаланушы бойынша ережелер үшін маңызды.

Екеуінің қайсысын таңдағаныңызды, оған тәуелді ереженің жанына жазыңыз.

Қолданба авторизациясы міндетті

Портқа жету рөл бермейді. Қолданбаға әлі де өз кіруі мен өз рұқсаттары қажет, өйткені желілік қабат пайдаланушы қандай жазбаларды өңдей алатынын білдіре алмайды. Ішкі желіден келген кез келген сұранысқа сенетін қызмет тар туннельді бір бұзылған тіркелгі деректері үшін толық қатынасқа айналдырады. Туннель сокетті кім аша алатынын шешеді, ал қолданба онымен не істеуге болатынын шешеді.

Міне осында тар дизайн екі есе төлейді, өйткені қолжетімді хосттардың азаюы қолданба деңгейіндегі қатені пайдалануға болатын орындардың азаюын білдіреді.

Желілік ережені және қолданба рөлін бөлек жүйелерде ұстаңыз және оларды бөлек тоқтатыңыз.

Рұқсат етілген және қабылданбаған жолдың екеуін де дәлелдеңіз

Авторизацияланған пайдаланушы ретінде қосылып, бір зиянсыз өкілдік операцияны орындаңыз, содан кейін қолжетімсіз болуы тиіс мақсатты көріңіз. Тек бірінші жартысын тексеретін дизайн тексерілген емес, және дизайнды дәлелдейтін — бас тарту тесті. Әр ереже өзгерісінен кейін жаңа сессияны тексеріңіз, ал сұраныстар келіп, жауаптар келмесе, қайту жолын қараңыз.

Қабылдау тесті өтуі үшін жіберу сүзгілерін өшірмеңіз, өйткені бұл тексеріліп жатқан нәрсені өзгертеді.

Пайдаланушыға қызмет енді қажет болмаса, қашықтағы сәйкестікті және қолданба рөлін олардың тиісті жүйелерінде тоқтатыңыз және екеуін де жазып алыңыз. strongSwan жіберу нұсқаулығы жолдың шлюз жағын қамтиды.