രണ്ട് ക്ലയന്റ് ഗ്രൂപ്പുകൾ, ഒരു സെർവർ: നയം എവിടെ നടപ്പാക്കണം
സബ്നെറ്റുകൾ ഗ്രൂപ്പുകൾക്ക് ലേബൽ നൽകുന്നു; അവയെ വേർതിരിക്കുന്നില്ല. ഏത് ഫോർവേഡിംഗ് പാതയാണ് നിയമം സ്വന്തമാക്കുന്നതെന്ന് തീരുമാനിച്ച്, നടപ്പാക്കൽ നിർബന്ധമാക്കേണ്ട മാട്രിക്സ് എഴുതുക.
രണ്ട് ക്ലയന്റ് ഗ്രൂപ്പുകളെ വ്യത്യസ്ത സബ്നെറ്റുകളിൽ വയ്ക്കുന്നത് വേർതിരിവായി തോന്നാം, പക്ഷേ അല്ല. വിലാസങ്ങൾ പാക്കറ്റ് എവിടെനിന്ന് വരുന്നതായി കാണപ്പെടുന്നു എന്ന് വിവരിക്കുന്നു, അതേസമയം അനുമതി അത് ഫോർവേഡ് ചെയ്യുന്നത് എടുക്കുന്ന തീരുമാനമാണ്. ഈ ചോദ്യത്തിന് മാസ്കല്ല, കോൺഫിഗറേഷനാണ് ഉത്തരം നൽകുന്നത്, അതിനാൽ ഏതെങ്കിലും നിയമം എഴുതുന്നതിന് മുൻപ് ഏത് ഘടകമാണ് പിയർ ട്രാഫിക് ഫോർവേഡ് ചെയ്യുന്നതെന്ന് തീരുമാനിക്കുക.
സബ്നെറ്റ് ഒരു ലേബലാണ്, നിയമമല്ല
ഓരോ ഗ്രൂപ്പിനും ഒരു പൂൾ നൽകുന്നത് വായിക്കാവുന്ന വിലാസങ്ങൾ നൽകുന്നു, അതിൽ കൂടുതലൊന്നുമില്ല. അധിക റൂട്ട് സ്വീകരിക്കുന്ന ക്ലയന്റ് എത്തിച്ചേരൽ നേടി, എത്തിച്ചേരൽ അനുമതിയല്ല. സംസാരിക്കാനുള്ള അനുമതി ഫോർവേഡിംഗ് തീരുമാനത്തിലാണ്, അത് സെർവർ എങ്ങനെ കോൺഫിഗർ ചെയ്തിരിക്കുന്നു എന്നതിനെ ആശ്രയിച്ച് ഡീമണിലോ കെർണലിലോ ആകാം.
വിലാസത്തിന്റെ ഉടമസ്ഥതയാണ് ഒരു പ്രിഫിക്സിനെ ഗ്രൂപ്പ് സെലക്ടറായി ഉപയോഗിക്കാൻ സാധ്യമാക്കുന്നത്. ഓരോ പ്രാമാണീകരിച്ച ഐഡന്റിറ്റിയും പ്രവചിക്കാവുന്ന വിലാസത്തിലേക്കോ ശ്രേണിയിലേക്കോ മാപ്പ് ചെയ്യണം, കൂടാതെ നിരവധി ഉപകരണങ്ങൾ ഒരു ക്രെഡൻഷ്യലും ഒരു അനുവദനവും പങ്കിടുന്ന ക്ഷണം ആ മാപ്പിംഗ് പരാജയപ്പെടുന്നു. ഉറവിട പ്രിഫിക്സിനെ ആശ്രയിക്കുന്നതിന് മുൻപ് ഐഡന്റിറ്റിയും സമകാലികതയും പരിഹരിക്കുക, കാരണം ഏത് മെഷീൻ വിളിക്കുന്നു എന്ന് ഊഹിക്കുന്ന നയം ഏറ്റവും മോശം നിമിഷത്തിൽ തെറ്റായതിന് അനുമതി നൽകുന്നു.
പിയർ ട്രാഫിക് വഹിക്കുന്ന പാത തിരഞ്ഞെടുക്കുക
ഡീമൺ സ്വന്തം പ്രക്രിയയ്ക്കുള്ളിൽ പിയർ പാക്കറ്റുകൾ ഫോർവേഡ് ചെയ്യുമ്പോൾ, ആ പാക്കറ്റുകൾ ഒരിക്കലും ഹോസ്റ്റിന്റെ ഫോർവേഡിംഗ് ഹൂക്കിൽ എത്തുന്നില്ല, അതിനാൽ കെർണൽ നിയമത്തിന് അവ കാണാനാവില്ല. ആ ആന്തരിക ഫോർവേഡിംഗ് പ്രവർത്തനരഹിതമാക്കുക, കെർണൽ ഫോർവേഡിംഗ് പോയിന്റാകും, അവിടെ സാധാരണ ഫോർവേഡ് നിയമങ്ങൾ ബാധകമാണ്.
# peer forwarding inside the daemon: enforce with per-group policy instead of FORWARD rules
client-to-client
# kernel forwarding path: remove the line above, then filter in the forward chainഓഫ്ലോഡ് ചെയ്ത ഡാറ്റാ ചാനലുകളും ഉൽപ്പന്ന-നിർവഹിത സെർവറുകളും സ്വന്തം നിർവ്വഹണ മാതൃകകൾ പ്രസിദ്ധീകരിക്കുന്നു, അതിനാൽ കമ്മ്യൂണിറ്റി സ്വഭാവം അനുമാനിക്കുന്നതിന് പകരം ഏതാണ് നിങ്ങൾ പ്രവർത്തിപ്പിക്കുന്നതെന്ന് സ്ഥിരീകരിക്കുക. ഒഴിവാക്കാൻ യോഗ്യമായ പരാജയം അവലോകനത്തിൽ ശരിയായി തോന്നുകയും റൺടൈമിൽ ഒരിക്കലും ചോദിക്കപ്പെടാതിരിക്കുകയും ചെയ്യുന്ന നിയമമാണ്.
നിയമങ്ങൾക്ക് മുൻപ് മാട്രിക്സ് എഴുതുക
ചെറിയ മാട്രിക്സ് നിയമക്കൂട്ടത്തേക്കാൾ അവലോകനം ചെയ്യാൻ എളുപ്പമാണ്, അതാണ് നടപ്പാക്കൽ പാലിക്കേണ്ട കരാർ: ഒരേ ഗ്രൂപ്പിലെ പിയറുകൾക്ക് അനുമതി, ഗ്രൂപ്പുകൾക്കിടയിലെ പിയറുകൾക്ക് വിലക്ക്, രണ്ട് ഗ്രൂപ്പുകൾക്കും ഒരു പേരുള്ള പങ്കിട്ട സേവനത്തിലേക്ക് അനുമതി, ബാക്കിയെല്ലാം വിലക്ക്. ഫയർവാൾ എഡിറ്റർ തുറക്കുന്നതിന് മുൻപ് ആ നാല് വരികൾ എഴുതുക. നിയമങ്ങളുടെ വാക്യഘടന വായിക്കാത്ത അവലോകകനും മാട്രിക്സ് പരിശോധിക്കാനാകും. പിന്നെ നടപ്പാക്കൽ വരികളുമായി ഒത്തുപോയാൽ മതി.
| Source | Destination | Decision |
|---|---|---|
| Group A address | Another Group A address | Allow |
| Group A address | A Group B address | Deny |
| Either group | The shared internal service | Allow |
| Either group | Anything not listed | Deny |
എഴുതുമ്പോൾ മൂന്ന് ലക്ഷ്യ വർഗ്ഗങ്ങൾ വെവ്വേറെ സൂക്ഷിക്കുക. VPN ഹോസ്റ്റിലെ സേവനം പ്രാദേശിക ഇൻപുട്ടാണ്, മറ്റൊരു ക്ലയന്റ് പിയർ ട്രാൻസിറ്റാണ്, ഗേറ്റ്‌വേയ്ക്ക് പിന്നിലെ മെഷീൻ വേറെ ഫോർവേഡിംഗ് പാതയാണ്. ഒരു ഉദാരമായ നിയമം മൂന്നിനെയും അബദ്ധത്തിൽ അനുവദിച്ചേക്കാം, അങ്ങനെ ഗ്രൂപ്പ് നയം അധിക ഘട്ടങ്ങളുള്ള പരന്ന നെറ്റ്‌വർക്കായി മാറുന്നു. ഓരോ വരിയുടെയും അടുത്ത് വർഗ്ഗം എഴുതുക, ഉദ്ദേശ്യം അടുത്ത എഡിറ്റിലും നിലനിൽക്കട്ടെ.
നിയമങ്ങൾ അവശേഷിക്കുന്നിടത്ത് വയ്ക്കുക
ഫയർവാളിന്റെ ബാക്കി ഭാഗം പരിപാലിക്കുന്ന അതേ സ്ഥലത്ത് തീരുമാനങ്ങൾ ചേർക്കുക, അവയെ വിഴുങ്ങാൻ സാധ്യതയുള്ള ഏതെങ്കിലും അനുമതി നിയമത്തിന് മുൻപ്. നിയമങ്ങളുടെ ക്രമം നയത്തിന്റെ ഭാഗമാണ്, വിശാലമായ അനുമതിക്ക് ശേഷം വയ്ക്കുന്ന ശരിയായ നിയമം ഒന്നും നടപ്പാക്കുന്നില്ല. മാറ്റത്തിന് മുൻപും ശേഷവും നിയമ നമ്പറുകൾ കുറിക്കുക. എഡിറ്ററിലുള്ളതും എന്നാൽ പ്രവർത്തിക്കുന്ന നിയമക്കൂട്ടത്തിലില്ലാത്തതുമായ നയം പദ്ധതിയാണ്, നിയന്ത്രണമല്ല.
നയം മാറുമ്പോൾ ഇതിനകം നിലവിലുള്ള ഫ്ലോകൾക്ക് എന്ത് സംഭവിക്കുമെന്ന് തീരുമാനിക്കുക, കാരണം മാറ്റത്തിന് മുൻപ് തുറന്ന സെഷൻ അതിന് ശേഷവും തുടരാം. പുറത്തുപോകുന്ന അംഗത്തിന് ഉടൻ പ്രവേശനം നഷ്ടപ്പെടേണ്ടതുണ്ടെങ്കിൽ, കണക്ഷൻ സ്വയം അടയുന്നത് കാത്തിരിക്കുന്നതിന് പകരം ആ അവസ്ഥ അവസാനിപ്പിക്കാനുള്ള വഴി നിയമക്കൂട്ടത്തിന് വേണം.
ഫയർവാളിന്റെ ബാക്കി ഭാഗം സ്വന്തമാക്കുന്ന സംവിധാനത്തിലൂടെ നിയമങ്ങൾ സ്ഥിരമാക്കുക, അവയുടെ അടുത്ത് മാട്രിക്സ് രേഖപ്പെടുത്തുക. രേഖപ്പെടുത്താത്ത നയം അടുത്ത സംഭവത്തിൽ സ്മൃതിയിൽനിന്ന് വീണ്ടും ഉരുത്തിരിയുന്നു, സാധാരണയായി തിരക്കിലുള്ള ഒരാളാൽ.
ഇരുവശത്തുനിന്നും തെളിയിക്കുക
ഓരോ ഗ്രൂപ്പിലെയും ഒരു ക്ലയന്റിൽനിന്ന് ഒരേ ഗ്രൂപ്പിലെ എത്തിച്ചേരൽ, ഗ്രൂപ്പുകൾക്കിടയിലെ പരാജയം, പങ്കിട്ട സേവനം എന്നിവ പരിശോധിക്കുക. ഒരു ക്ലയന്റിൽനിന്ന് ഒരു പരിശോധന മാട്രിക്സിന്റെ പകുതി തെളിയിക്കുന്നു, ഒഴിവാക്കുന്ന പകുതിയാണ് സാധാരണയായി തെറ്റായത്. നിരാകരണ ദിശ രണ്ടുതവണ ആവർത്തിക്കുക, കാരണം കാഷെ ചെയ്ത സെഷൻ നിർവ്വഹണ പിശക് മറയ്ക്കാം. ഏത് ജോഡിയാണ് പരിശോധിച്ചതെന്ന് രേഖപ്പെടുത്തുക, അടുത്തയാൾ അത് ആവർത്തിക്കാതിരിക്കട്ടെ.
ടണൽ IPv6 വഹിക്കുന്നുവെങ്കിൽ അതിൽ പരിശോധന ആവർത്തിക്കുക, സാധാരണ അപ്ലിക്കേഷൻ പ്രാമാണീകരണം നിലനിർത്തുക. ഉറവിട പ്രിഫിക്സ് ഒരു അക്കൗണ്ടല്ല, അതിനാൽ നെറ്റ്‌വർക്ക് നയം കടന്നുപോകുന്നത് സേവനം വിളിക്കുന്നയാളെ വിശ്വസിക്കണം എന്നർത്ഥമാക്കുന്നില്ല.