VPN клиенти и LAN: кога да се користи одделна зона

Ставањето на интерфејсот на тунелот во зоната LAN е најкраткиот пат до VPN што работи, и обично тоа е погрешната стандардна поставка. Тоа му дава на далечинскиот клиент иста доверба каква што има жичениот LAN, а задачата ретко го бара тоа. Одделната зона чини неколку правила и ја прави границата видлива. Одлуката не е дали зоните се подобри; туку кои три услови важат за вашата мрежа.

Името на зоната не шифрира ништо и не автентикува корисник. То само групира интерфејси за моделот на политики на огнениот ѕид.

Што всушност контролира членството во зона

Зоната групира интерфејси или сообраќај во моделот на огнениот ѕид. Нејзините поставки за влез, излез и проследување потоа управуваат со различни улоги. Влезот е сообраќај кон самиот рутер; проследувањето е сообраќај низ него кон друг домаќин. Документацијата на OpenWrt за зони токму поради тоа ги третира влезот, излезот и проследувањето како одделни поставки.

Дозволата од зоната VPN во зоната LAN не е автоматски обратна дозвола. Правилата за проследување имаат насока, а правилото што дозволува сообраќај од клиент кон сервер не дозволува сесии од сервер кон клиент. Клиент што може да отвори врска кон сервер не е клиент кон кого серверот може да отвори повратна врска.

Таа разлика е причината зошто одделната зона е корисна: можете експлицитно да ја наведете секоја насока и секоја улога. Запишете ја насоката до секое правило.

Прва одлука: влез, проследување или двете

Ако на далечинските клиенти им треба DNS од рутерот, дозволете влез само за таа услуга. Ако треба да стигнат до датотечен сервер, дозволете проследување кон таа дестинација. Повеќето VPN проекти ги бараат двете, но за различни услуги.

Широк пристап преку влез до секоја локална услуга речиси никогаш не е потребен. Третирајте го управувањето со рутерот како одделна одлука од пристапот до апликации. Ако на рутерот му треба само да одговара на DNS, запишете ја таа единствена дозвола и оставете го остатокот затворен.

Втора одлука: кои ресурси им требаат на далечинските клиенти

Наведете ги опсезите на клиентите, дестинациите и услугите што VPN треба да ги обезбеди пред да пишувате правила. Списокот на дестинации е покорисен од етикета за доверба, бидејќи опстојува при миграција на огнениот ѕид.

Држете ги интерфејсите за управување одделно од вообичаениот пристап до апликации. На далечински клиент што стигнува до вики, поради тоа не му треба административната страница на рутерот или конзолата на хипервизорот.

Ако дозволената дестинација може да проследува понатаму, границата на зоната запира кај огнениот ѕид, а не кај тоа што дестинацијата го прави потоа.

Трета одлука: како ќе ја докажете границата

По секоја промена тестирајте дозволен тек и еден намерно одбиен. Доказот дека една страница се вчитува не открива ненамерна широка дозвола. Тестирајте од опсегот на адреси на VPN клиентот, не од LAN, и вклучете ја насоката во која очекувате неуспех. Запишете ги двата резултата до правилото.

Зачувајте го пристапот за враќање на портата пред да ја менувате политиката на далечинската зона. Користете постојана управувана конфигурација наместо измени во текот на работа, инаку следното рестартирање ќе ја врати старата доверба. Копија од претходната конфигурација, чувана надвор од уредот, е најевтиното враќање што некогаш ќе го имате.

Како што мрежата расте, документирајте го членството и целта на правилата. Новоповрзан интерфејс не треба да наследува привилегии само затоа што некој му дал погодно име на зона.