pfSense дахь статик туннелийн хаягууд: давуу эрх үү, нөөц үү?

Хоёр загвар цаасан дээр ижил харагдах боловч дүрэм тэдгээрээс хамаарах үед огт өөр аашилдаг. Нэг нь клиентийн дарж бичилтэд хаяг бичээд хаягийг таних тэмдэг гэж итгэдэг. Нөгөө нь динамик хүлээн авалтыг бүрэн хаадаг тул төгсгөлийн цэг нь өвөрмөц хуваарилалттай байх эсвэл холбогдохгүй. Зөвхөн хоёр дахь нь хаягийг хамгаалж болох бодлогын оролт болгох бөгөөд ганц ч галт хананы дүрэм бичихээс өмнө энэ ялгааг ойлгох нь зүйтэй.

Дарж бичилтийн хаяг үнэхээр юу амладаг вэ

Клиентэд тусгай дарж бичилт нь клиент тус бүрийн сонголтыг агуулж, түүний дотор давуу эрхтэй туннелийн хаяг багтана. Netgate энэ хаягийг нөөц биш, давуу эрх гэж тодорхойлдог бөгөөд энэ нь динамик сан хаягийг өөр хэнд ч өгөхгүй гэсэн үг юм.

Энэ нь ихэвчлэн зүгээр. Мөргөлдөөн ховор бөгөөд клиент ихэвчлэн хүссэн зүйлээ авдаг, энэ нь тав тухтад хангалттай боловч зөвшөөрөлд хангалтгүй. Тав тух, зөвшөөрөл нь өөр шаардлага бөгөөд мөргөлдөөнөөс зөвхөн нэг нь амьд үлддэг.

Дэд сүлжээний топологид талбар нь клиентийн хаягийг серверийн сүлжээний масктай хамт авдаг тул 10.90.0.0/24 туннелийн доторх хаяг 10.90.0.10/24 гэж бичигддэг.

Эдгээрийн аль нь ч дугаарыг нөөцлөхгүй. Дарж бичилт нь таарахгүй клиент эсвэл давхардсан сесс сангийн өөр газарт дуусч болох бөгөөд хаягт тулгуурласан дүрэм тэгвэл тэнд байхгүй хүнийг дүрсэлдэг.

Динамик замыг хязгаарлагдмал өгөгдмөлөөр хаа

Өөр хувилбар нь зөвхөн статикаар ажилладаг сервер юм: хүлээн авсан төгсгөлийн цэг бүр өөрийн таних тэмдэг, өөрийн өвөрмөц хаягтай бөгөөд өөр юу ч орохгүй.

Үүнийг хэрэгжүүлэх нь зөвхөн тэр нэг серверт хязгаарлагдсан, холболт блоклохыг идэвхжүүлсэн DEFAULT дарж бичилт юм. Тохирох дарж бичилтгүй клиент тэгвэл ердийн динамик хүлээн авалт руу буцаж чадахгүй. Яг тэр ганц мөр давуу эрхийг хаалттай олонлог болгодог.

Хамрах хүрээ чухал. Төхөөрөмж дээрх VPN бүрт хэрэглэсэн өгөгдмөл дарж бичилт нь холбоогүй туннелүүдийг түгжиж, тэр доголдол бодлогын шийдвэр биш эвдэрсэн үйлчилгээ мэт харагдана. Үүнийг хүлээн авалтын загварыг өөрчилж буй тэр нэг серверт холбоно уу. Дараа нь хамрах хүрээг өөрчлөлтийн бүртгэлд тэмдэглэнэ үү, учир нь дараагийн хүн аль туннелд хамаарахыг санахгүй.

Дараа нь зөвшөөрөгдсөн олонлогийг бүхэлд нь шалгана уу. Өгөгдмөл блоклох нь хаяггүй үлдсэн нэртэй дарж бичилтийг засдаггүй бөгөөд тэр төгсгөлийн цэг яагаад гэдгийг тодорхой зааваргүйгээр холбогдохгүй.

Серверийн үнэхээр ашигладаг таних тэмдэгтэй тааруул

Дарж бичилт нь ямар нэгэн зүйлтэй таардаг. Сертификатын ерөнхий нэрийг тааруулдаг серверт дарж бичилтийн нэр нь тэр ерөнхий нэр байх ёстой, хүний харуулах нэр биш. Үүнийг сертификатаас хуулж, дансны жагсаалтаас бүү ав.

Хэрэглэгчийн нэрийг ерөнхий нэр болгон ашиглахаар тохируулсан сервер огт өөр түлхүүрээр тааруулдаг тул сертификатын нэрээр нэрлэсэн дарж бичилт хэзээ ч ажиллахгүй. Тохиргоог уншиж, дансны жагсаалт харуулж буй зүйлээс бүү таамагла.

Байршуулалтын шаарддаг нэмэлт баталгаажуулалтын хүчин зүйлсийг хадгал. Хаалттай хаягийн загвар нь хэн холбогдож болох, ямар хаяг авдгийг өөрчилдөг; энэ нь сертификатын шалгалт эсвэл хоёр дахь хүчин зүйлийг орлохгүй.

Газрын зураг зөв болсны дараа хандалтын дүрмүүдийг бич

Таних тэмдгээс хаяг руу хүрэх газрын зураг хаагдсаны дараа дүрмүүд хаягуудыг хүмүүс гэж дүр эсгэхгүйгээр дурдаж болно. Нэг хүний төгсгөлийн цэгүүдийг бүлэглэсэн далд нэр тодорхой үйлчилгээнд хүрч чаддаг бол өөр далд нэр өөр зүйлд хүрдэг. Далд нэр нь хянаж болох объект болж, хаяг нь түүний доторх хэрэгжүүлэлтийн дэлгэрэнгүй мэдээлэл болдог.

Очих газар, портуудыг тодорхой байлга. Бүхэл туннелийн сангаас бүхэл орон нутгийн сүлжээг зөвшөөрөх нь энэ дасгал орлуулах ёстой байсан загвар юм.

Хөвөгч, бүлэг, интерфейсийн дүрмүүдийг бодит үнэлгээний дарааллаар унш, учир нь эрт өргөн дамжуулалт хожуу нарийныг хүчингүй болгодог. Клиентийн хоорондох дотоод дамжуулалтыг унтраах нь тэр дүрмүүд хянагддаг хил дээр хост хоорондын урсгалыг барина. Зөвхөн цаасан дээр байгаа дүрэм бол хэрэгжилт биш.

Сөрөг тохиолдлуудыг турш

Дөрвөн шинэ холболт туршиж үз: нэртэй төгсгөлийн цэг, огт дарж бичилтгүй нэг, хүрч болох ёстой үйлчилгээ, хүрч болохгүй үйлчилгээ. Жагсаалтад ороогүй төгсгөлийн цэг бол чухал тохиолдол, учир нь загвар яг түүнийг зогсоохын тулд бий. Хэрэв тэр холбогдвол өгөгдмөл блоклох ажлаа хийхгүй байна.

IPv6-г тусад нь шалга, учир нь IPv4 хаягийн бодлого хоёр дахь стекын талаар юу ч хэлэхгүй. Дараа нь аппликейшн хэрэглэгчийг зөвшөөрсөн хэвээр байгааг бататга, учир нь туннелийн хаяг бол сүлжээний бодит баримт, хэн гарын мөрөн дээр байгаагийн баталгаа биш. Хоёр шалгалт хоёулаа хүлээн авалтын тэмдэглэлд багтана.

Эцэст нь шилжилтийг төлөвлө. Шинэ дарж бичилт, нарийн дүрмүүд аль хэдийн үүссэн сессийг буцааж өөрчлөхгүй тул одоогийн төлөв дуусах эсвэл санаатайгаар цэвэрлэгдэх ёстой.