VPN klientai ir LAN: kada naudoti atskirą zoną

Tunelio sąsają patalpinti LAN zonoje yra trumpiausias kelias iki veikiančio VPN, ir paprastai tai neteisinga numatytoji reikšmė. Tai suteikia nuotoliniam klientui tokį pat pasitikėjimą, kokį turi laidinis LAN, o užduotis to retai reikalauja. Atskira zona kainuoja kelias taisykles ir padaro ribą matomą. Sprendimas ne tas, ar zonos geresnės; o tai, kurios trys sąlygos galioja jūsų tinklui.

Zonos pavadinimas nieko neužšifruoja ir neautentifikuoja naudotojo. Jis tik sugrupuoja sąsajas ugniasienės politikos modeliui.

Ką iš tikrųjų valdo priklausymas zonai

Zona sugrupuoja sąsajas arba srautą ugniasienės modelyje. Jos įvesties, išvesties ir persiuntimo nustatymai tada valdo skirtingus vaidmenis. Įvestis yra srautas į patį maršrutizatorių; persiuntimas yra srautas per jį į kitą hostą. OpenWrt zonų dokumentacija būtent todėl traktuoja įvestį, išvestį ir persiuntimą kaip atskirus nustatymus.

Leidimas iš VPN zonos į LAN zoną nėra automatiškai atvirkštinis leidimas. Persiuntimo taisyklės yra kryptinės, o taisyklė, leidžianti srautą iš kliento į serverį, neleidžia sesijų iš serverio į klientą. Klientas, galintis atidaryti ryšį į serverį, nėra klientas, į kurį serveris gali atidaryti grįžtamąjį ryšį.

Šis skirtumas yra priežastis, kodėl atskira zona naudinga: galite aiškiai nurodyti kiekvieną kryptį ir kiekvieną vaidmenį. Rašykite kryptį prie kiekvienos taisyklės.

Pirmas sprendimas: įvestis, persiuntimas ar abu

Jei nuotoliniams klientams reikia DNS iš maršrutizatoriaus, leiskite įvestį tik tai paslaugai. Jei jiems reikia pasiekti failų serverį, leiskite persiuntimą į tą paskirties vietą. Daugumai VPN projektų reikia abiejų, bet skirtingoms paslaugoms.

Platus įvesties prieigos prie visų vietinių paslaugų beveik niekada nereikia. Maršrutizatoriaus valdymą traktuokite kaip atskirą sprendimą nuo prieigos prie programų. Jei maršrutizatoriui reikia tik atsakyti į DNS, įrašykite tą vienintelį leidimą, o likusią dalį palikite uždarytą.

Antras sprendimas: kokių išteklių reikia nuotoliniams klientams

Išvardykite klientų diapazonus, paskirties vietas ir paslaugas, kurias VPN turėtų teikti, prieš rašydami taisykles. Paskirties vietų sąrašas naudingesnis už pasitikėjimo žymą, nes jis išlieka po ugniasienės migracijos.

Valdymo sąsajas laikykite atskirai nuo įprastos prieigos prie programų. Nuotoliniam klientui, kuris pasiekia viki, dėl to nereikia maršrutizatoriaus administravimo puslapio ar hipervizoriaus konsolės.

Jei leidžiama paskirties vieta gali persiųsti toliau, zonos riba sustoja ties ugniasiene, o ne ties tuo, ką paskirties vieta daro toliau.

Trečias sprendimas: kaip įrodysite ribą

Po kiekvieno pakeitimo išbandykite leidžiamą srautą ir vieną sąmoningai atmestą. Įrodymas, kad viena svetainė įkeliama, neatskleidžia netyčinio plataus leidimo. Bandyktie iš VPN kliento adresų diapazono, ne iš LAN, ir įtraukite kryptį, kurioje tikities nesėkmės. Abu rezultatus užrašykite prie taisyklės.

Išsaugokite šliuzo atkūrimo prieigą prieš keisdami nuotolinės zonos politiką. Naudokite nuolatinę valdomą konfigūraciją, o ne vykdymo metu atliekamus pakeitimus, kitaip kitą kartą įsijungus bus atkurtas senasis pasitikėjimas. Ankstesnės konfigūracijos kopija, saugoma už įrenginio ribų, yra pigiausias atsukimas, kokį kada turėsite.

Tinklui augant, dokumentuokite narystę ir taisyklių paskirtį. Naujai prijungta sąsaja neturėtų paveldėti privilegijų vien todėl, kad kas nors suteikė jai patogų zonos pavadinimą.