Zwee Client-Gruppen, een Server: wou d'Politik duerchgesat gëtt

Zwee Client-Gruppen op verschidde Subnetze setzen gesäit aus wéi Isolatioun, an ass et net. Adressen beschreiwen, wou e Paket schénge vun hier kënnt, wärend d'Erlaabnis eng Entscheedung ass, déi deen hëlt, deen et weiderleet. Op déi Fro äntwert d'Konfiguratioun an net d'Mask, also entscheit, wéi eng Komponent de Peer-Trafic weiderleet, ier Dir eng Regel schreift.

En Subnet ass eng Etikett, keng Regel

Ee Pool pro Grupp zoudeelen gëtt Iech liesbar Adressen an soss näischt. E Client, deen eng zousätzlech Route akzeptéiert, huet Erreechbarkeet gewonnen, an Erreechbarkeet ass keng Autorisatioun. D'Erlaabnis ze schwätzen ass an der Forwarding-Entscheedung, déi am Daemon oder am Kernel ka liewen, jee nodeem wéi de Server konfiguréiert ass.

Adressbesëtz ass et, wat e Präfix als Gruppeselektor notzbar mécht. All authentifizéiert Identitéit muss op eng viraussobar Adress oder e Beräich passen, an dës Zouuerdnung fällt, soubal méi Apparater ee Kredential an eng Zoudeelung deelen. Léist Identitéit a Gleichzäitegkeet, ier Dir Iech op e Quellpräfix verloosst, well eng Politik, déi sech denkt, wéi eng Maschinn ugeet, am schlëmmste Moment déi falsch autoriséiert.

Wielt de Wee, deen de Peer-Trafic dréit

Wann den Daemon Peer-Paketen a sengem eegene Prozess weiderleet, erreechen déi Paketen ni den Forwarding-Hook vum Host, also kann eng Kernelregel se net gesinn. Deaktivéiert déi intern Forwarding, an de Kernel gëtt de Forwarding-Punkt, wou normal Forwarding-Regele gëllen.

# peer forwarding inside the daemon: enforce with per-group policy instead of FORWARD rules
client-to-client
# kernel forwarding path: remove the line above, then filter in the forward chain

Offloadte Datenkanäl a produktverwaltete Server publizéieren hir eege Duerchsetzungsmodeller, also bestätegt, wéi een Dir bedreift, amplaz d'Verhalen vun der Gemeinschaft unzehuelen. De Feeler, deen et wäert ass ze vermeiden, ass eng Regel, déi an enger Iwwerpréiwung richteg ausgesäit an ni zur Laufzäit gefrot gëtt.

Schreift d'Matrix ier Dir Regelen schreift

Eng kuerz Matrix ass méi einfach z'iwwerpréifen wéi e Regelset, an et ass de Kontrakt, deen d'Implementatioun erfëlle muss: Peeren aus der selwechter Grupp erlaabt, Peeren iwwer Gruppe verbueden, béid Gruppe erlaabt op ee benannten gedeelte Service, alles anescht verbueden. Schreift déi véier Zeilen op, ier Dir en Firewall-Editor opmaacht. En Iwwerpréifer, deen d'Regelsyntax net liest, kann d'Matrix nach ëmmer kontrolléieren. Duerno muss d'Implementatioun just mat den Zeilen iwwereneenkommen.

Hält déi dräi Destinatiounsklasse getrennt, während Dir se schreift. E Service um VPN-Host ass lokalen Input, en anere Client ass Peer-Transit, an eng Maschinn hannert dem Gateway ass en anere Forwarding-Wee. Eng generéis Regel kann all dräi zoufälleg ginn, an esou gëtt eng Gruppepolitik en flaacht Netzwierk mat zousätzleche Schrëtt. Schreift d'Klass nieft all Zeil, sou datt d'Absicht déi nächst Ännerung iwwerlieft.

Setzt d'Regelen do, wou se iwwerliewen

Fügt d'Entscheedungen op déiselwecht Plaz bäi, wou de Rescht vum Firewall ënnerhalen gëtt, virun all erlaabender Regel, déi se soss géif verschlécken. D'Reiefolleg vun de Regelen ass en Deel vun der Politik, an eng richteg Regel no enger breeder Erlaabnis setzt guer näischt duerch. Notéiert d'Regelnummeren virun an no der Ännerung. Eng Politik, déi an engem Editor existéiert awer net am lafende Regelset, ass e Plang, keng Kontroll.

Entscheit, wat mat Flëss geschitt, déi schonn existéieren, wann d'Politik sech ännert, well eng Sessioun, déi virun der Ännerung opgemaach gouf, duerno ka weiderlafen. Wann e Member, deen fortgeet, direkt den Accès verléiere muss, brauch de Regelset eng Manéier, dee Staat ze beenden, amplaz ze waarden, bis d'Verbindung sech selwer zoumécht.

Maacht d'Regele persistant duerch de Mechanismus, deen de Rescht vum Firewall besëtzt, a registréiert d'Matrix dobäi. Eng net registréiert Politik gëtt beim nächsten Tëschefall aus dem Gedächtnis nei ofgeleet, meeschtens vun engem, deen et séier huet.

Beweist et vun zwou Säiten

Test d'Erreechbarkeet bannent der selwechter Grupp, de Feeler iwwer Gruppe hinweg an de gedeelte Service vun engem Client an all Grupp. En eenzegen Test vun engem eenzegen Client beweist d'Halschent vun der Matrix, an déi Halschent, déi en ausléisst, ass meeschtens déi falsch. Widderhëlt d'Verbued-Richtung zweemol, well eng gecachte Sessioun e Duerchsetzungsfeeler ka verstoppen. Notéiert, wéi eng Koppel Dir getest hutt, sou datt déi nächst Persoun se net widderhëlt.

Widderhëlt d'Kontroll op IPv6, wann den Tunnel et dréit, a behält déi normal Applikatiounsauthentifikatioun. E Quellpräfix ass kee Kont, also heescht d'Netzwierkpolitik ze bestoen net, datt e Service dem Uruffer soll trauen.