Statiskas tuneļa adreses pfSense: izvēle vai rezervācija?

Divi dizaini uz papīra izskatās līdzīgi un uzvedas ļoti atšķirīgi, kad noteikums no tiem ir atkarīgs. Viens ieraksta adresi klienta pārrakstīšanā un uzticas adresei kā identitātei. Otrs pilnībā aizver dinamisko uzņemšanu, tāpēc galapunktam vai nu ir unikāls piešķīrums, vai tas neveido savienojumu. Tikai otrais pārvērš adresi par politikas ievadi, ko varat aizstāvēt, un starpību ir vērts saprast pirms jebkura ugunsmūra noteikuma rakstīšanas.

Ko pārrakstīšanas adrese patiešām sola

Uz klientu attiecināma pārrakstīšana satur opcijas katram klientam, tostarp vēlamo tuneļa adresi. Netgate šo adresi raksturo kā izvēli, nevis rezervāciju, kas nozīmē, ka dinamiskais kopums neatsakās no adreses kāda cita labā.

Tas parasti ir kārtībā. Sadursme ir reta, un klients parasti saņem to, ko lūdza, kas ir pietiekami ērtībai un nav pietiekami autorizācijai. Ērtība un autorizācija ir dažādas prasības, un tikai viena no tām pārdzīvo sadursmi.

Apakštīkla topoloģijā lauks ņem klienta adresi kopā ar servera tīkla masku, tāpēc adrese 10.90.0.0/24 tunelī tiek rakstīta kā 10.90.0.10/24.

Nekas no tā nav numura rezervācija. Klients, kura pārrakstīšana neatbilst, vai dubultota sesija var nonākt citur kopumā, un noteikums, kas balstīts uz adresi, tad apraksta kādu, kura tur nav.

Aizveriet dinamisko ceļu ar ierobežotu noklusējumu

Alternatīva ir tikai statisks serveris: katram uzņemtajam galapunktam ir sava identitāte un sava unikālā adrese, un nekas cits neiekļūst.

To ieviest nozīmē DEFAULT pārrakstīšanu, kas ierobežota tikai ar šo vienu serveri un kurā ieslēgta savienojumu bloķēšana. Klientam bez atbilstošas pārrakstīšanas tad nav iespējams atgriezties pie parastās dinamiskās uzņemšanas. Tieši šī vienīgā rinda pārvērš izvēli slēgtā kopā.

Apjoms ir svarīgs. Noklusējuma pārrakstīšana, kas piemērota katrai VPN instancei ierīcē, bloķēs nesaistītus tuneļus, un šī kļūme izskatās kā bojāts pakalpojums, nevis politikas lēmums. Piesaistiet to vienam serverim, kura uzņemšanas modeli maināt. Tad pierakstiet apjomu izmaiņu žurnālā, jo nākamā persona neatcerēsies, kuram tunelim tas pieder.

Pēc tam pārbaudiet visu atļauto kopu. Noklusējuma bloķēšana nelabo nosaukto pārrakstīšanu, kas atstāta bez adreses, un šis galapunkts vienkārši neizdosies savienoties bez skaidras norādes, kāpēc.

Saskaņojiet ar identitāti, ko serveris patiešām izmanto

Pārrakstīšana ar kaut ko saskaņojas. Serverī, kas saskaņo sertifikātu vispārīgos nosaukumus, pārrakstīšanas nosaukumam jābūt šim vispārīgajam nosaukumam, nevis personas parādītajam vārdam. Kopējiet to no sertifikāta, nevis no kontu saraksta.

Serveris, kas konfigurēts lietot lietotājvārdu kā vispārīgo nosaukumu, saskaņo pavisam citu atslēgu, un pārrakstīšana, kas nosaukta pēc sertifikāta, nekad neiedarbosies. Izlasiet iestatījumu, nevis seciniet to no tā, ko rāda kontu saraksts.

Saglabājiet papildu autentifikācijas faktorus, ko prasa izvietošana. Slēgts adrešu modelis maina to, kas var savienoties un kādu adresi saņem; tas neaizstāj sertifikāta pārbaudi vai otro faktoru.

Rakstiet piekļuves noteikumus, kad karte ir droša

Kad identitātes un adreses karte ir slēgta, noteikumi var atsaukties uz adresēm, neizliekoties, ka tās ir personas. Aizstājvārds, kas grupē vienas personas galapunktus, var sasniegt konkrētu pakalpojumu, kamēr cits aizstājvārds sasniedz ko citu. Aizstājvārds kļūst par pārbaudāmu objektu, un adrese kļūst par ieviešanas detaļu tajā.

Turiet galamērķus un portus skaidrus. Atļaut visu vietējo tīklu no visa tuneļu kopuma ir tieši tas dizains, ko šim vingrinājumam bija jāaizstāj.

Lasiet peldošos, grupu un interfeisa noteikumus to faktiskajā novērtēšanas secībā, jo agrāka plaša pāreja atceļ vēlāku šauru. Iekšējās pārsūtīšanas starp klientiem izslēgšana notur vienādranga datplūsmu uz robežas, kur šie noteikumi tiek pārbaudīti. Noteikums, kas pastāv tikai uz papīra, nav izpilde.

Pārbaudiet negatīvos gadījumus

Izmēģiniet četrus jaunus savienojumus: nosauktu galapunktu, tādu bez jebkādas pārrakstīšanas, pakalpojumu, kam vajadzētu būt sasniedzamam, un tādu, kam nevajadzētu. Neiekļautais galapunkts ir svarīgais gadījums, jo dizains pastāv, lai to apturētu. Ja tas savienojas, noklusējuma bloķēšana nedara savu darbu.

Pārbaudiet IPv6 atsevišķi, jo IPv4 adrešu politika neko nepasaka par otru steku. Pēc tam apstipriniet, ka lietojumprogramma joprojām autorizē lietotāju, jo tuneļa adrese ir tīkla fakts, nevis pierādījums par to, kas sēž pie tastatūras. Abas pārbaudes pieder pieņemšanas piezīmei.

Visbeidzot, plānojiet migrāciju. Jaunas pārrakstīšanas un šauri noteikumi nemaina jau izveidotās sesijas atpakaļejoši, tāpēc esošajiem stāvokļiem jābeidzas vai tie apzināti jānotīra.