VPN klienti un LAN: kad izmantot atsevišķu zonu

Tuneļa saskarnes ievietošana LAN zonā ir īsākais ceļš uz strādājošu VPN, un parasti tas ir nepareizais noklusējums. Tas piešķir attālinātajam klientam tādu pašu uzticēšanos kā vadu LAN, un uzdevums to reti prasa. Atsevišķa zona maksā dažus noteikumus un padara robežu redzamu. Lēmums nav par to, vai zonas ir labākas; bet par to, kuri trīs nosacījumi attiecas uz jūsu tīklu.

Zonas nosaukums neko nešifrē un neautentificē lietotāju. Tas tikai grupē saskarnes ugunsmūra politikas modelim.

Ko zonu piederība patiešām kontrolē

Zona grupē saskarnes vai datplūsmu ugunsmūra modelī. Tās ievades, izvades un pāradresēšanas iestatījumi pēc tam pārvalda dažādas lomas. Ievade ir datplūsma uz pašu maršrutētāju; pāradresēšana ir datplūsma caur to uz citu resursdatoru. OpenWrt zonu dokumentācija tieši šī iemesla dēļ uzskata ievadi, izvadi un pāradresēšanu par atsevišķiem iestatījumiem.

Atļauja no VPN zonas uz LAN zonu nav automātiski pretēja atļauja. Pāradresēšanas noteikumi ir virzieniski, un noteikums, kas atļauj datplūsmu no klienta uz serveri, neatļauj sesijas no servera uz klientu. Klients, kas var atvērt savienojumu uz serveri, nav klients, uz kuru serveris var atvērt savienojumu atpakaļ.

Šī atšķirība ir iemesls, kāpēc atsevišķa zona ir noderīga: varat skaidri norādīt katru virzienu un katru lomu. Rakstiet virzienu blakus katram noteikumam.

Pirmais lēmums: ievade, pāradresēšana vai abi

Ja attālinātajiem klientiem vajag DNS no maršrutētāja, atļaujiet ievadi tikai šim pakalpojumam. Ja viņiem jāsasniedz failu serveris, atļaujiet pāradresēšanu uz šo galamērķi. Lielākajai daļai VPN projektu vajag abus, bet dažādiem pakalpojumiem.

Plaša ievades piekļuve visiem vietējiem pakalpojumiem gandrīz nekad nav vajadzīga. Uztveriet maršrutētāja pārvaldību kā atsevišķu lēmumu no piekļuves lietojumprogrammām. Ja maršrutētājam jāatbild tikai uz DNS, ierakstiet šo vienīgo atļauju un atstājiet pārējo slēgtu.

Otrais lēmums: kādi resursi vajadzīgi attālinātajiem klientiem

Uzskaitiet klientu diapazonus, galamērķus un pakalpojumus, ko VPN būtu jāsniedz, pirms rakstīt noteikumus. Galamērķu saraksts ir noderīgāks par uzticēšanās birku, jo tas pārdzīvo ugunsmūra migrāciju.

Turiet pārvaldības saskarnes atsevišķi no parastās piekļuves lietojumprogrammām. Attālinātajam klientam, kas sasniedz viki, tāpēc nav vajadzīga maršrutētāja administratora lapa vai hipervizora konsole.

Ja atļautais galamērķis var pārsūtīt tālāk, zonas robeža apstājas pie ugunsmūra, nevis pie tā, ko galamērķis dara tālāk.

Trešais lēmums: kā pierādīsiet robežu

Pēc katras izmaiņas pārbaudiet atļautu plūsmu un vienu apzināti liegto. Pierādījums, ka viena vietne ielādējas, neatklāj netīšu plašu atļauju. Pārbaudiet no VPN klienta adrešu diapazona, nevis no LAN, un iekļaujiet virzienu, kurā gaidāt neveiksmi. Abus rezultātus pierakstiet blakus noteikumam.

Saglabājiet vārtejas atkopšanas piekļuvi pirms attālinātās zonas politikas maiņas. Izmantojiet pastāvīgu pārvaldītu konfigurāciju, nevis izmaiņas izpildlaikā, citādi nākamā pārstartēšana atjaunos veco uzticēšanos. Iepriekšējās konfigurācijas kopija, glabāta ārpus ierīces, ir lētākā atritināšana, kāda jums būs.

Tīklam augot, dokumentējiet piederību un noteikumu mērķi. Jaunpievienotai saskarnei nevajadzētu mantot privilēģijas tikai tāpēc, ka kāds tai devis ērtu zonas nosaukumu.