pfSense ичиндеги статикалык туннель даректери: артыкчылыкпы же резервдөөбү?

Эки долбоор кагазда окшош көрүнөт жана эреже аларга көз каранды болгондо таптакыр башкача жүрүм-турум кылат. Бири кардардын үстүнөн жазууга даректи жазат жана даректи жеке басы катары ишенет. Экинчиси динамикалык кабыл алууну толугу менен жабат, ошондуктан акыркы чекит же уникалдуу ыйгарым алат, же туташпайт. Даректи коргой алган саясат киргизүүсүнө айландырган нерсе — экинчиси гана, жана бир да брандмауэр эрежесин жазганга чейин бул айырманы түшүнүү пайдалуу.

Үстүнөн жазуу дареги чындыгында эмнени убада кылат

Кардарга тиешелүү үстүнөн жазуу ар бир кардар үчүн параметрлерди камтыйт, анын ичинде артык көрүлгөн туннель дареги. Netgate бул даректи резервдөө эмес, артыкчылык катары сүрөттөйт, башкача айтканда динамикалык пул даректи башка бирөөгө бербейт.

Бул адатта жакшы. Кагылышуу сейрек болот, жана кардар адатта сураганын алат, бул ыңгайлуулукка жетет жана авторизацияга жетпейт. Ыңгайлуулук жана авторизация ар кандай талаптар, жана кагылышуудан экөөнүн бири гана аман калат.

Ички тармак топологиясында талаа кардардын дарегин сервердин тармагынын маскасы менен бирге алат, ошондуктан 10.90.0.0/24 туннелинин ичиндеги дарек 10.90.0.10/24 деп жазылат.

Мунун эч бири санды резервдебейт. Үстүнөн жазуусу дал келбеген кардар же кайталанган сессия пулдун башка жеринде бүтүшү мүмкүн, жана дарекке негизделген эреже ошондо ал жерде жок адамды сүрөттөйт.

Динамикалык жолду чектелген демейки менен жабыңыз

Альтернатива — статикалык гана иштеген сервер: кабыл алынган ар бир акыркы чекит өзүнүн жеке басына жана өзүнүн уникалдуу дарегине ээ, жана башка эч нерсе кирбейт.

Аны ишке ашыруу ошол бир серверге гана чектелген жана туташууларды бөгөттөө күйгүзүлгөн DEFAULT үстүнөн жазуу болуп саналат. Дал келүүчү үстүнөн жазуусу жок кардар андан кийин кадимки динамикалык кабыл алууга кайта албайт. Дал ошол бир сап артыкчылыкты жабык жыйындыга айлантат.

Камтуу маанилүү. Түзмөктөгү ар бир VPN нускасына колдонулган демейки үстүнөн жазуу байланышсыз туннелдерди жабат, жана бул бузулуу саясат чечиминен көрө бузулган кызматка окшош. Аны кабыл алуу моделин өзгөртүп жаткан жалгыз серверге байлаңыз. Андан кийин камтууну өзгөрүүлөр журналына белгилеңиз, анткени кийинки адам анын кайсы туннелге тиешелүү экенин эстебейт.

Андан кийин уруксат берилген бүтүндөй жыйынды текшериңиз. Демейки бөгөттөө дарексиз калган аталган үстүнөн жазууну оңдобойт, жана ал акыркы чекит эмне үчүн экенин так көрсөтмөсүз туташа албайт.

Сервер чындыгында колдонгон жеке басына дал келтириңиз

Үстүнөн жазуу бир нерсеге дал келет. Сертификаттардын жалпы аттарын дал келтирген серверде үстүнөн жазуунун аты ошол жалпы ат болушу керек, адамдын көрсөтүлүүчү аты эмес. Аны эсеп тизмесинен эмес, сертификаттан көчүрүңүз.

Колдонуучунун атын жалпы ат катары колдонууга конфигурацияланган сервер таптакыр башка ачкыч менен дал келтирет, жана сертификаттын аты менен аталган үстүнөн жазуу эч качан иштебейт. Жөндөөнү окуңуз, эсеп тизмеси көрсөткөндөн божомолдобоңуз.

Жайгаштыруу талап кылган кошумча аутентификация факторлорун сактаңыз. Жабык дарек модели ким туташа аларын жана кайсы даректи аларын өзгөртөт; ал сертификат текшерүүсүн же экинчи факторду алмаштырбайт.

Катышуу эрежелерин карта туура болгондон кийин жазыңыз

Жеке бас менен даректин картасы жабылгандан кийин эрежелер даректерге адамдар деп көрсөтпөстөн шилтеме кыла алат. Бир адамдын акыркы чекиттерин топтогон лакап ат белгилүү бир кызматка жете алат, башка лакап ат башка нерсеге жетет. Лакап ат текшерүүгө боло турган объект болуп калат, жана дарек анын ичиндеги ишке ашыруу деталына айланат.

Багыттоолорду жана портторду так кармаңыз. Бүтүндөй туннель пулунан бүтүндөй жергиликтүү тармакка уруксат берүү — бул көнүгүү алмаштырышы керек болгон долбоордун дал өзү.

Калкыма, топтук жана интерфейстик эрежелерди алардын чыныгы баалоо тартибинде окуңуз, анткени мурунку кенен өтүү кийинки тар өтүүнү жокко чыгарат. Кардарлардын ортосунда ички өткөрүүнү өчүрүү теңдеш трафикти ошол эрежелер каралган чекте кармайт. Кагазда гана бар эреже — бул аткаруу эмес.

Терс учурларды сынап көрүңүз

Төрт жаңы туташууну сынап көрүңүз: аталган акыркы чекит, эч кандай үстүнөн жазуусу жок бири, жеткиликтүү болушу керек кызмат жана болбошу керек кызмат. Тизмеде жок акыркы чекит — маанилүү учур, анткени долбоор дал ошону токтотуу үчүн бар. Эгер ал туташса, демейки бөгөттөө өз ишин аткарбай жатат.

IPv6ны өзүнчө текшериңиз, анткени IPv4 дарек саясаты экинчи стек жөнүндө эч нерсе айтпайт. Андан кийин колдонмо колдонуучуну дагы эле авторизациялаарын тастыктаңыз, анткени туннель дареги — тармактык факт, клавиатурада ким отурганынын далили эмес. Эки текшерүү тең кабыл алуу жазуусуна таандык.

Акырында, көчүрүүнү пландаштырыңыз. Жаңы үстүнөн жазуулар жана тар эрежелер мурунтан түзүлгөн сессияларды артка кайта өзгөртпөйт, ошондуктан учурдагы абалдар бүтүшү же атайын тазаланышы керек.