Statisch Tunnelsadressen am pfSense: Preferenz oder Reservatioun?

Zwou Designen gesinn um Pabeier ähnlech aus a behuelen sech ganz anescht, wann eng Regel vun hinne ofhänkt. Dat eng schreift eng Adress an eng Client-Iwwerschreiwung an vertraut der Adress als Identitéit. Dat anert schléisst d'dynamesch Zouléisse vollstänneg, sou datt en Endpunkt entweder eng eenzegaarteg Zouschrëftung huet oder sech net verbënnt. Nëmmen dat zweet mécht aus enger Adress eng verdeedegungsbar Politiksinngab, an den Ënnerscheed ass et wäert ze verstoen, ier Dir eng eenzeg Firewallregel schreift.

Wat eng Iwwerschreiwungsadress wierklech versprécht

Eng clientspezifesch Iwwerschreiwung dréit Optiounen pro Client, dorënner eng bevorzugt Tunnelsadress. Netgate beschreift déi Adress als Preferenz an net als Reservatioun, wat bedeit, datt den dynamesche Pool d'Adress net un een aneren opgëtt.

Dat ass meeschtens an der Rei. Eng Kollisioun ass seelen, an de Client kritt normalerweis dat, wat hie gefrot huet, wat duer fir Komfort an net duer fir Autorisatioun. Komfort an Autorisatioun sinn ënnerschiddlech Ufuerderungen, an nëmmen eng dovun iwwerlieft eng Kollisioun.

Mat Subnet-Topologie hëlt d'Feld d'Clientadress zesumme mat der Mask vum Server-Netzwierk, sou datt eng Adress bannent engem 10.90.0.0/24-Tunnel als 10.90.0.10/24 geschriwwe gëtt.

Näischt dovun reservéiert d'Nummer. E Client, deem seng Iwwerschreiwung net passt, oder eng duebel Sessioun, kann soss anerefalls am Pool landen, an eng Regel, déi op der Adress baséiert, beschreift dann een, deen net do ass.

Maacht den dynamesche Wee mat engem agegrenzten Standard zou

D'Alternativ ass en nëmme statesche Server: all zougeloosse Endpunkt huet seng eege Identitéit a seng eege eenzegaarteg Adress, an näischt anescht kënnt eran.

Et ëmzesetzen heescht eng DEFAULT-Iwwerschreiwung, déi op deen een Server agegrenzt ass an d'Verbindungsblockéierung ageschalt huet. E Client ouni passend Iwwerschreiwung kann dann net op déi gewéinlech dynamesch Zouléisse zréckfalen. Genee déi eng Linn mécht aus enger Preferenz en zouenen Ensembel.

Den Ëmfang ass wichteg. Eng Standard-Iwwerschreiwung, déi op all VPN-Instanz um Apparat ugewannt gëtt, spärrt onverbonnen Tunnelen aus, an dee Feeler gesäit aus wéi en futti Service an net wéi eng Politikentscheedung. Bind se un deen een Server, deem säin Zouléissmodell Dir ännert. Notéiert dann den Ëmfang am Ännerungsprotokoll, well déi nächst Persoun wäert sech net erënneren, zu wéi engem Tunnel se gehéiert.

Auditéiert duerno de ganzen erlaabten Ensembel. D'Standardblockéierung reparéiert keng benannt Iwwerschreiwung, déi ouni Adress gelooss gouf, an deen Endpunkt wäert einfach net verbënnen, ouni en offensichtlechen Hiwäis firwat.

Passt zu der Identitéit, déi de Server wierklech benotzt

Eng Iwwerschreiwung passt zu eppes. Op engem Server, deen déi gemeinsam Nimm vu Certificaten ofgläicht, muss den Numm vun der Iwwerschreiwung dee gemeinsamen Numm sinn, net den ugewisene Numm vun der Persoun. Kopéiert en aus dem Certificat an net aus der Kontlëscht.

E Server, deen ageriicht ass, de Benotzernumm als gemeinsamen Numm ze benotzen, gläicht op engem ganz aneren Schlëssel of, an eng Iwwerschreiwung, déi nom Certificat benannt ass, wäert ni ausgeléist ginn. Liest d'Astellung, amplaz se aus deem ofzeleeden, wat d'Kontlëscht weist.

Behält déi zousätzlech Authentifikatiounsfaktore bäi, déi d'Bereitstellung verlaangt. En zouenen Adressmodell ännert, wien sech ka verbannen a wéi eng Adress hie kritt; en ersetzt net d'Certificatspréifung oder den zweete Faktor.

Schreift d'Zougrëffsregelen, nodeems d'Kaart steak ass

Soubal d'Kaart vun Identitéit op Adress zou ass, kënnen d'Regelen Adressen referenzéieren, ouni ze behaapten, et wieren Mënschen. En Alias, deen d'Endpunkte vun enger Persoun gruppéiert, kann eng bestëmmte Service erreechen, während en aneren Alias eppes anescht erreecht. Den Alias gëtt d'ireséierbaren Objet, an d'Adress gëtt en Ëmsetzungsdetail doranner.

Hält Destinatiounen a Porten explizit. Dat ganzt lokalt Netzwierk aus dem ganzen Tunnelpool zouzeloossen ass genee dat Design, dat dës Übung sollt ersetzen.

Liest schwiebend, Grupp- an Interface-Regelen an hirer richteger Evaluatiounsuerdnung, well en éischte breede Passage en spéider schmuele neutraliséiert. D'Ofschalte vun der interner Weiderleedung vu Client zu Client hält den Traffic tëscht Peeren op der Grenz, wou déi Regelen iwwerpréift ginn. Eng Regel, déi nëmmen um Pabeier existéiert, ass keng Ëmsetzung.

Testt déi negativ Fäll

Probéiert véier nei Verbindungen: en genannten Endpunkt, een ouni all Iwwerschreiwung, eng Service, déi erreechbar sollt sinn, an eng, déi et net sollt. Den net opgeführte Endpunkt ass dee wichtege Fall, well et deen ass, fir deen d'Design existéiert, fir en ze stoppen. Wann en sech verbënnt, mécht d'Standardblockéierung hir Aarbecht net.

Kontrolléiert IPv6 getrennt, well eng IPv4-Adresspolitik näischt iwwer en zweete Stack seet. Bestätegt duerno, datt d'Applikatioun de Benotzer nach ëmmer autoriséiert, well eng Tunnelsadress eng Netzwierkstatsaach ass an net e Beweis, wien op der Tastatur sëtzt. Béid Kontrollen gehéieren an d'Akzeptanznotiz.

Schlussendlech, plangt d'Migratioun. Nei Iwwerschreiwungen a schmuel Regelen änneren déi schonn etabléiert Sessiounen net zréckwierkend, dofir mussen déi existéierend Zustänn oflafen oder bewosst geläscht ginn.