Эки кардар тобу, бир сервер: саясатты кайда колдонуу керек

Эки кардар тобун ар башка ички тармактарга жайгаштыруу обочолонуудай көрүнөт, бирок андай эмес. Даректер пакет кайдан келгендей көрүнөрүн сүрөттөйт, ал эми уруксат — аны жөнөткөн нерсенин чечими. Бул суроого маска эмес, конфигурация жооп берет, ошондуктан кандайдыр бир эреже жазганга чейин тууташтардын трафигин кайсы компонент жөнөтөрүн чечиңиз.

Ички тармак — белги, эреже эмес

Ар бир топко бир пул берүү окула турган даректерди берет, башка эч нерсе жок. Кошумча маршрутту кабыл алган кардар жеткиликтүүлүккө ээ болду, ал эми жеткиликтүүлүк — авторизация эмес. Сүйлөшүү уруксаты жөнөтүү чечиминде, ал сервердин конфигурациясына жараша демондо же өзөктө болушу мүмкүн.

Даректин ээлиги префиксти топ тандоочу катары пайдаланууга жарактуу кылат. Ар бир аутентификацияланган инсан алдын ала болжолдонуучу дарекке же диапазонго туура келиши керек, жана бир нече түзмөк бир эсеп маалыматын жана бир бөлүштүрүүнү бөлүшкөндө эле бул дал келүү бузулат. Булак префиксине таянбастан мурун инсандыкты жана бир убактылуулукту чечиңиз, анткени кайсы машина чалып жатканын болжолдогон саясат эң жаман учурда туура эмеске уруксат берет.

Тууташтардын трафигин ташыган жолду тандаңыз

Демон тууташтардын пакеттерин өз процессинин ичинде жөнөткөндө, ал пакеттер хосттун жөнөтүү илгичине эч качан жетпейт, ошондуктан өзөк эрежеси аларды көрө албайт. Ошол ички жөнөтүүнү өчүрүңүз, өзөк кадимки жөнөтүү эрежелери колдонулуучу жөнөтүү чекитине айланат.

# peer forwarding inside the daemon: enforce with per-group policy instead of FORWARD rules
client-to-client
# kernel forwarding path: remove the line above, then filter in the forward chain

Жүктөөдөн чыгарылган маалымат каналдары жана продукт башкарган серверлер өздөрүнүн аткаруу моделдерин жарыялашат, ошондуктан коомчулуктун жүрүм-турумун болжолдоонун ордуна кайсынысын иштетип жатканыңызды ырастаңыз. Алдын алууга татыктуу бузулуу — кароодо туура көрүнүп, иштөө убагында эч качан суралбаган эреже.

Эрежелерди жазганга чейин матрицаны жазыңыз

Кыска матрицаны эрежелер жыйындысына караганда кароо оңой, жана ал ишке ашыруу аткарышы керек келишим: бир топтун тууташтарына уруксат, топтор ортосундагы тууташтарга тыюу, эки топко тең бир аталган жалпы кызматка уруксат, калганынын баарына тыюу. От каптоочтун редакторун ачардан мурун ушул төрт сапты жазыңыз. Эреже синтаксисин окубаган кароочу да матрицаны текшере алат. Андан кийин ишке ашыруу саптарга гана дал келиши керек.

Жазуу убагында үч багыт классын өз-өзүнчө кармаңыз. VPN хостундагы кызмат — жергиликтүү кирүү, башка кардар — тууташтар транзити, ал эми шлюздун артындагы машине — башка жөнөтүү жолу. Бир мээримдүү эреже үчөөнү тең кокустан бериши мүмкүн, жана ушетип топ саясаты кошумча кадамдар менен тегиз тармакка айланат. Ар бир саптын жанына классты жазыңыз, ой-ниет кийинки оңдоодо да сакталсын.

Эрежелерди тирүү калган жерге коюңуз

Чечимдерди от каптоочтун калган бөлүгү тейленген ошол эле жерге, аларды жутуп коюшу мүмкүн болгон ар кандай уруксат берүүчү эрежеден мурун кошуңуз. Эрежелердин ирети саясаттын бөлүгү, жана кең уруксаттан кийин коюлган туура эреже эч нерсени аткарбайт. Өзгөртүүдөн мурун жана кийин эреже номерлерин белгилеп коюңуз. Редактордо бар, бирок иштеп жаткан эрежелер жыйындысында жок саясат — план, көзөмөл эмес.

Саясат өзгөргөндө мурунтан бар агымдарга эмне болорун чечиңиз, анткени өзгөртүүдөн мурун ачылган сессия андан кийин да уланышы мүмкүн. Кетип жаткан мүчө жеткиликтүүлүктү дароо жоготушу керек болсо, туташуу өзү жабылышын күтүүнүн ордуна ошол абалды токтотуу ыкмасы эрежелер жыйындысында болушу керек.

Эрежелерди от каптоочтун калган бөлүгүнө ээ механизм аркылуу туруктуу кылыңыз жана матрицаны алардын жанына жазыңыз. Катталбаган саясат кийинки окуя убагында эстен кайра чыгарылат, адатта шашкан адам тарабынан.

Эки жактан далилдеңиз

Ар бир топтогу бир кардардан бир топтун ичиндеги жеткиликтүүлүктү, топтор ортосундагы ийгиликсиздикти жана жалпы кызматты текшериңиз. Бир кардардан бир текшерүү матрицанын жарымын далилдейт, ал эми четте калган жарымы адатта туура эмес жагы. Тыюу багытын эки жолу кайталаңыз, анткени кэштелген сессия аткаруу катасын жашырышы мүмкүн. Кайсы жупту текшергениңизди жазыңыз, кийинки адам аны кайталабасын.

Туннель IPv6 ташыса, текшерүүнү ошол протокол боюнча кайталаңыз жана кадимки колдонмо аутентификациясын ордунда калтырыңыз. Булак префикси — эсеп эмес, ошондуктан тармак саясатынан өтүү кызмат чалуучуга ишениши керек дегенди билдирбейт.