Statiniai tunelio adresai pfSense: nuostata ar rezervacija?

Du sprendimai popieriuje atrodo panašiai, o kai taisyklė nuo jų priklauso, elgiasi visiškai skirtingai. Vienas įrašo adresą į kliento perrašymą ir pasitiki adresu kaip tapatybe. Kitas visiškai uždaro dinaminį priėmimą, todėl galinis taškas arba turi unikalų priskyrimą, arba jungtis negali. Tik antrasis paverčia adresą politikos įvestimi, kurią galima apginti, ir skirtumą verta suprasti prieš rašant bent vieną užkardos taisyklę.

Ką iš tikrųjų žada perrašymo adresas

Konkretaus kliento perrašymas turi kiekvieno kliento parinktis, įskaitant pageidaujamą tunelio adresą. Netgate apibūdina tą adresą kaip nuostatą, o ne rezervaciją, o tai reiškia, kad dinaminis telkinys neatsisako adreso dėl kitų.

Paprastai tai nieko blogo. Susidūrimas retas, ir klientas paprastai gauna tai, ko paprašė, o to pakanka patogumui ir nepakanka autorizacijai. Patogumas ir autorizacija yra skirtingi reikalavimai, ir tik vienas jų išgyvena susidūrimą.

Su potinklio topologija laukas ima kliento adresą kartu su serverio tinklo kauke, todėl adresas 10.90.0.0/24 tunelio viduje rašomas kaip 10.90.0.10/24.

Niekas iš to nerezervuoja numerio. Klientas, kurio perrašymas nesutampa, arba pasikartojusi sesija gali atsidurti kitur telkinyje, ir taisyklė, pagrįsta adresu, tuomet aprašo žmogų, kurio ten nėra.

Uždarykite dinaminį kelią apribotu numatytuoju

Alternatyva yra tik statinis serveris: kiekvienas priimtas galinis taškas turi savo tapatybę ir savo unikalų adresą, ir niekas kitas nepatenka.

Tai įgyvendinti reiškia DEFAULT perrašymą, apribotą tik tuo vienu serveriu ir su įjungtu jungčių blokavimu. Klientas be atitinkančio perrašymo tada negali grįžti prie įprasto dinaminio priėmimo. Būtent ta viena eilutė paverčia nuostatą uždaru rinkiniu.

Apimtis svarbi. Numatytasis perrašymas, taikomas kiekvienai įrenginio VPN instancijai, užblokuos nesusijusius tunelius, ir tas gedimas atrodo kaip sugedusi paslauga, o ne politikos sprendimas. Susiekite jį su tuo vieninteliu serveriu, kurio priėmimo modelį keičiate. Tada įrašykite apimtį pakeitimų žurnale, nes kitas žmogus neprisimins, kuriam tuneliui ji priklauso.

Po to peržiūrėkite visą leistiną rinkinį. Numatytasis blokavimas nepataiso pavadinto perrašymo, palikto be adreso, ir tas galinis taškas tiesiog neprisijungs be aiškios užuominos kodėl.

Suderinkite su tapatybe, kurią serveris iš tikrųjų naudoja

Perrašymas su kažkuo sutampa. Serveryje, kuris sutapatina sertifikatų bendruosius vardus, perrašymo vardas turi būti tas bendrasis vardas, o ne asmens rodomas vardas. Nukopijuokite jį iš sertifikato, o ne iš paskyrų sąrašo.

Serveris, sukonfigūruotas naudoti vartotojo vardą kaip bendrąjį vardą, sutapatina visiškai kitą raktą, ir perrašymas, pavadintas pagal sertifikatą, niekada nesuveiks. Perskaitykite nuostatą, o ne darykite išvadą iš to, ką rodo paskyrų sąrašas.

Išsaugokite papildomus autentifikavimo veiksnius, kurių reikalauja diegimas. Uždaras adresų modelis keičia, kas gali jungtis ir kokį adresą gauna; jis nepakeičia sertifikato patikros ar antrojo veiksnio.

Rašykite prieigos taisykles, kai žemėlapis bus tvirtas

Kai tapatybės ir adreso žemėlapis uždarytas, taisyklės gali nurodyti adresus neapsimetinėdamos, kad tai žmonės. Slapyvardis, grupuojantis vieno asmens galinius taškus, gali pasiekti konkrečią paslaugą, o kitas slapyvardis pasiekia ką nors kita. Slapyvardis tampa peržiūrimu objektu, o adresas tampa įgyvendinimo detale jame.

Laikykite tikslus ir prievadus aiškius. Leisti visą vietinį tinklą iš viso tunelių telkinio yra būtent tas sprendimas, kurį šis pratimas turėjo pakeisti.

Skaitykite slankiąsias, grupės ir sąsajos taisykles tikra jų vertinimo tvarka, nes ankstesnis platus praėjimas panaikina vėlesnį siaurą. Išjungus vidinį persiuntimą tarp klientų, tarpusavio srautas lieka ties riba, kurioje tos taisyklės peržiūrimos. Taisyklė, egzistuojanti tik popieriuje, nėra vykdymas.

Išbandykite neigiamus atvejus

Išbandykite keturis naujus ryšius: pavadintą galinį tašką, tokį be jokio perrašymo, paslaugą, kuri turėtų būti pasiekiama, ir tokią, kuri neturėtų. Nepaminėtas galinis taškas yra svarbiausias atvejis, nes būtent jį sprendimas skirtas sustabdyti. Jei jis prisijungia, numatytasis blokavimas neatlieka savo darbo.

IPv6 patikrinkite atskirai, nes IPv4 adresų politika nieko nesako apie antrą dėklą. Tada patvirtinkite, kad programa vis dar autorizuoja vartotoją, nes tunelio adresas yra tinklo faktas, o ne įrodymas, kas sėdi prie klaviatūros. Abu patikrinimai priklauso priėmimo pastabai.

Galiausiai suplanuokite perkėlimą. Nauji perrašymai ir siauros taisyklės nepakeičia jau nustatytų sesijų atgaline data, todėl esamos būsenos turi pasibaigti arba būti sąmoningai išvalytos.