Divas klientu grupas, viens serveris: kur piemērot politiku

Divu klientu grupu izvietošana dažādos apakštīklos izskatās pēc izolācijas, un tā nav. Adreses apraksta, no kurienes pakete šķietami nāk, bet atļauja ir lēmums, ko pieņem tas, kas to pārsūta. Uz šo jautājumu atbild konfigurācija, nevis maska, tāpēc izlemiet, kura komponente pārsūta vienaudžu datplūsmu, pirms rakstāt jebkuru noteikumu.

Apakštīkls ir etiķete, nevis noteikums

Viena baseina piešķiršana grupai dod lasāmas adreses un neko vairāk. Klients, kas pieņem papildu maršrutu, ir ieguvis sasniedzamību, un sasniedzamība nav autorizācija. Atļauja runāt atrodas pārsūtīšanas lēmumā, kas var dzīvot dēmonā vai kodolā atkarībā no tā, kā serveris ir konfigurēts.

Adreses īpašumtiesības ir tas, kas padara prefiksu izmantojamu kā grupas atlasītāju. Katrai autentificētajai identitātei jāatbilst paredzamai adresei vai diapazonam, un šī atbilstība sabrūk, tiklīdz vairākas ierīces dala vienu akreditācijas datu kopu un vienu piešķīrumu. Atrisiniet identitāti un vienlaicību pirms paļaušanās uz avota prefiksu, jo politika, kas min, kura mašīna zvana, sliktākajā brīdī autorizē nepareizo.

Izvēlieties ceļu, kas pārvadā vienaudžu datplūsmu

Kad dēmons pārsūta vienaudžu paketes savā procesā, šīs paketes nekad nesasniedz resursdatora pārsūtīšanas āķi, tāpēc kodola noteikums tās nevar redzēt. Izslēdziet šo iekšējo pārsūtīšanu, un kodols kļūst par pārsūtīšanas punktu, kur darbojas parastie pārsūtīšanas noteikumi.

# peer forwarding inside the daemon: enforce with per-group policy instead of FORWARD rules
client-to-client
# kernel forwarding path: remove the line above, then filter in the forward chain

Nokrautie datu kanāli un produkta pārvaldītie serveri publicē savus izpildes modeļus, tāpēc apstipriniet, kuru no tiem darbināt, nevis pieņemiet kopienas uzvedību. Kļūme, ko ir vērts novērst, ir noteikums, kas pārskatā izskatās pareizs un izpildlaikā nekad netiek jautāts.

Uzrakstiet matricu pirms noteikumiem

Īsa matrica ir vieglāk pārskatāma nekā noteikumu kopums, un tā ir līgums, kas ieviešanai jāizpilda: vienas grupas vienaudži atļauti, starpgrupu vienaudži aizliegti, abas grupas atļautas uz vienu nosauktu kopīgu pakalpojumu, viss pārējais aizliegts. Pierakstiet šīs četras rindas pirms ugunsmūra redaktora atvēršanas. Pārskatītājs, kas nelasa noteikumu sintaksi, joprojām var pārbaudīt matricu. Tad ieviešanai tikai jāatbilst rindām.

Rakstot turiet trīs galamērķa klases atsevišķi. Pakalpojums VPN resursdatorā ir lokāla ievade, cits klients ir vienaudžu tranzīts, un mašīna aiz vārtejas ir cits pārsūtīšanas ceļš. Viens dāsns noteikums var nejauši piešķirt visus trīs, un tā grupas politika pārvēršas plakanā tīklā ar papildu soļiem. Ierakstiet klasi blakus katrai rindai, lai nodoms izdzīvotu nākamo labojumu.

Novietojiet noteikumus tur, kur tie izdzīvo

Pievienojiet lēmumus tajā pašā vietā, kur tiek uzturēts pārējais ugunsmūris, pirms jebkura atļaujoša noteikuma, kas citādi tos aprītu. Noteikumu secība ir politikas daļa, un pareizs noteikums, kas ievietots pēc plašas atļaujas, neko neizpilda. Pierakstiet noteikumu numurus pirms un pēc izmaiņām. Politika, kas pastāv redaktorā, bet ne darbojošā noteikumu kopā, ir plāns, nevis kontrole.

Izlemiet, kas notiek ar jau esošajām plūsmām, kad politika mainās, jo sesija, kas atvērta pirms izmaiņām, var turpināties pēc tām. Ja aizejošajam dalībniekam nekavējoties jāzaudē piekļuve, noteikumu kopai vajadzīgs veids, kā izbeigt šo stāvokli, nevis gaidīt, kad savienojums aizvērsies pats.

Padariet noteikumus noturīgus ar mehānismu, kam pieder pārējais ugunsmūris, un pierakstiet matricu tiem blakus. Nereģistrēta politika nākamajā incidentā tiek atkal atvasināta no atmiņas, parasti cilvēka steigā.

Pierādiet to no abām pusēm

Pārbaudiet sasniedzamību vienas grupas ietvaros, neveiksmi starp grupām un kopīgo pakalpojumu no viena klienta katrā grupā. Viens tests no viena klienta pierāda pusi matricas, un izlaistā puse parasti ir nepareizā. Atkārtojiet aizlieguma virzienu divreiz, jo kešatmiņā saglabāta sesija var paslēpt izpildes kļūdu. Pierakstiet, kuru pāri pārbaudījāt, lai nākamais cilvēks to neatkārtotu.

Atkārtojiet pārbaudi IPv6, ja tunelis to pārvadā, un saglabājiet parasto lietojumprogrammu autentifikāciju. Avota prefikss nav konts, tāpēc tīkla politikas izturēšana nenozīmē, ka pakalpojumam jāuzticas zvanītājam.