VPN-Clienten an d'LAN: wéini eng separat Zone benotzen

D'Tunnel-Interface an d'LAN-Zone ze leeën ass de kierzten Wee zu enger funktionéierender VPN, an et ass meeschtens de falsche Standard. Et gëtt dem entfernten Client déi selwecht Vertraue wéi der Kabel-LAN, wat d'Aufgab selten verlaangt. Eng separat Zone kascht e puer Regelen a mécht d'Grenz sichtbar. D'Entscheedung ass net ob Zonen besser sinn; si ass wéi eng dräi Konditiounen op Ärem Netz gëllen.

Den Numm vun der Zone verschlësselt näischt an authentifizéiert keen Notzer. En gruppéiert just Interfaceë fir de Politikmodell vun der Firewall.

Wat d'Zonememberschaft tatsächlech steiert

Eng Zone gruppéiert Interfaceën oder Trafik am Modell vun der Firewall. Hir Input-, Output- an Forward-Astellungen steieren duerno verschidden Rollen. Input ass Trafik zum Router selwer; Forward ass Trafik duerch hien zu engem aneren Host. D'Zonendokumentatioun vun OpenWrt behandelt Input, Output a Forward als getrennt Astellungen genau aus dësem Grond.

Eng Erlabnes vun der VPN-Zone an d'LAN-Zone ass net automatesch eng ëmgedréit Erlabnes. Forward-Regelen hunn eng Richtung, an eng Regel déi Trafik vum Client zum Server erlaabt, erlaabt keng Sitzungen vum Server zum Client. E Client dee Verbindung zum Server kann opmaachen ass kee Client zu deem de Server eng Verbindung zréck kann opmaachen.

Dësen Ënnerscheed ass de Grond firwat eng separat Zone nëtzlech ass: Dir kënnt all Richtung an all Roll explizit uginn. Schreift d'Richtung nieft all Regel.

Entscheedung eent: Input, Forward oder béides

Wann déi entfernt Clienten DNS vum Router brauchen, erlaabt Input just fir dee Service. Wa se mussen e Fichiersserver erreechen, erlaabt Forward zu deem Zil. Déi meescht VPN-Designer brauchen béides, awer fir verschidden Servicer.

Breede Input-Zougang zu all lokalem Service ass bal ni néideg. Behandelt d'Router-Verwaltung als eng separat Entscheedung vum Zougang zu Applikatiounen. Wa de Router just DNS muss äntweren, schreift déi eenzeg Erlabnes an loosst de Rescht zou.

Entscheedung zwee: wéi eng Ressourcen déi entfernt Clienten brauchen

List d'Client-Beräicher, d'Ziler an d'Servicer op déi d'VPN soll ubidden, ier Dir Regele schreift. Eng Lëscht vun Ziler ass nëtzlecher wéi e Vertrauenslabel, well se eng Firewall-Migratioun iwwerlieft.

Halt d'Verwaltungsinterface'en getrennt vum gewéinlechen Zougang zu Applikatiounen. En entfernte Client deen eng Wiki erreecht brauch dofir net d'Admin-Säit vum Router oder d'Konsole vum Hypervisor.

Wa en erlaabten Zil weider ka forwarden, hält d'Grenz vun der Zone bei der Firewall op, net bei deem wat d'Zil duerno mécht.

Entscheedung dräi: wéi Dir d'Grenz beweise wäert

Test no all Ännerung e erlaabte Flux an een deen absichtlech verweigert gëtt. Beweisen datt eng Websäit lued weist keng ongewollt breet Erlabnes. Test aus dem Adressberäich vum VPN-Client, net aus der LAN, a setz d'Richtung dobäi déi Dir erwaart datt se feelt. Schreift béid Resultater nieft d'Regel.

Erhaalt den Erhuelungszougang vum Gateway ier Dir d'Politik vun der entfernter Zone ännert. Benotzt déi persistent verwalt Konfiguratioun amplaz Ännerungen zur Lafzäit, soss stellt den nächsten Neistart déi al Vertraue erëm hier. Eng Kopie vun der viregter Konfiguratioun, ausserhalb vum Apparat versuergt, ass dee bëllegsten Zréckwee deen Dir jeemools kritt.

Wann d'Netz wächst, dokumentéiert Memberschaft an den Zweck vun de Regelen. Eng nei ugeschloss Interface soll net Privilegien ierwen just well een hir en bequemen Zonenumm ginn huet.