Статични тунелски адреси во pfSense: претпоставка или резервација?

Два дизајна изгледаат слично на хартија и се однесуваат сосема различно кога некое правило зависи од нив. Едниот внесува адреса во клиентското препишување и ѝ верува на адресата како идентитет. Другиот целосно го затвора динамичкото прифаќање, така што крајната точка или има единствена доделба или не се поврзува. Само вториот ја претвора адресата во елемент на политика што може да се брани, и разликата вреди да се разбере пред да се напише и едно правило на огнениот ѕид.

Што навистина ветува адресата на препишување

Препишувањето специфично за клиент носи опции по клиент, вклучително преферирана тунелска адреса. Netgate ја опишува таа адреса како претпоставка, а не како резервација, што значи дека динамичкото множество не ја отстапува адресата на никого друг.

Тоа обично е во ред. Судирот е редок, и клиентот обично го добива тоа што го побарал, што е доволно за удобност и не е доволно за авторизација. Удобноста и авторизацијата се различни барања, и само едно од нив преживува судир.

Со топологија на подмрежа, полето ја зема адресата на клиентот заедно со маската на мрежата на серверот, така што адресата во тунелот 10.90.0.0/24 се запишува како 10.90.0.10/24.

Ништо од тоа не го резервира бројот. Клиент чие препишување не се совпаѓа, или дуплирана сесија, може да заврши на друго место во множеството, и правило врзано за адресата тогаш опишува некого кого таму го нема.

Затворете ја динамичката патека со ограничено стандардно

Алтернатива е сервер само со статични адреси: секоја прифатена крајна точка има сопствен идентитет и сопствена единствена адреса, и ништо друго не влегува.

Неговото спроведување значи препишување DEFAULT ограничено на тој еден сервер со вклучено блокирање врски. Клиент без соодветно препишување тогаш не може да се врати на вообичаеното динамичко прифаќање. Токму таа една линија ја претвора претпоставката во затворено множество.

Опфатот е важен. Стандардното препишување применето на секоја VPN инстанца на уредот ќе ги заклучи неповрзаните тунели, и тој дефект изгледа како расипана услуга, а не како одлука на политика. Врзете го за единствениот сервер чиј модел на прифаќање го менувате. Потоа забележете го опфатот во дневникот на измени, бидејќи следниот човек нема да памети на кој тунел припаѓа.

Потоа проверете го целиот дозволен сет. Стандардното блокирање не поправа именувано препишување оставено без адреса, и таа крајна точка едноставно нема да се поврзе без очигледен наговор зошто.

Спојте го со идентитетот што серверот навистина го користи

Препишувањето се совпаѓа со нешто. На сервер што ги совпаѓа општите имиња на сертификатите, името на препишувањето мора да биде тоа општо име, а не прикажаното име на лицето. Копирајте го од сертификатот, а не од списокот на сметки.

Сервер конфигуриран да го користи корисничкото име како општо име совпаѓа на сосема друг клуч, и препишување именувано по сертификатот никогаш нема да се активира. Прочитајте го поставувањето, наместо да го заклучувате од она што го покажува списокот на сметки.

Задржете ги дополнителните фактори за автентикација што ги бара распоредувањето. Затворениот модел на адреси менува кој може да се поврзе и која адреса ја добива; тој не ја заменува проверката на сертификатот или вториот фактор.

Напишете ги правилата за пристап откако картата ќе биде точна

Откако картата од идентитет до адреса е затворена, правилата можат да упатуваат на адреси без да се преправаат дека тие се луѓе. Алијас што ги групира крајните точки на едно лице може да достигне одредена услуга, додека друг алијас достигнува нешто друго. Алијасот станува објект што може да се прегледа, а адресата станува детаљ за спроведување во него.

Држете ги одредиштата и портите експлицитни. Дозволувањето на целата локална мрежа од целото множество тунели е токму дизајнот што оваа вежба требаше да го замени.

Читајте ги лебдечките, групните и интерфејсните правила во нивниот вистински редослед на оценување, бидејќи поранешен широк премин го поништува подоцнежниот тесен. Исклучувањето на внатрешното проследување меѓу клиентите го задржува сообраќајот меѓу паровите на границата каде тие правила се прегледуваат. Правило што постои само на хартија не е спроведување.

Тестирајте ги негативните случаи

Испробајте четири нови врски: именувана крајна точка, таква без никакво препишување, услуга што треба да биде достапна и таква што не треба. Неопишаната крајна точка е важниот случај, бидејќи токму неа дизајнот треба да ја запре. Ако се поврзе, стандардното блокирање не ја врши својата работа.

Проверете го IPv6 одделно, бидејќи политиката за адреси IPv4 не кажува ништо за вториот стек. Потоа потврдете дека апликацијата сѐ уште го авторизира корисникот, бидејќи тунелската адреса е мрежен факт, а не доказ кој е зад тастатурата. Двете проверки припаѓаат на записот за прифаќање.

На крајот, испланирајте ја миграцијата. Новите препишувања и тесните правила не ги менуваат наназад веќе воспоставените сесии, така што постојните состојби мора да истечат или намерно да се избришат.