Хоёр клиентийн бүлэг, нэг сервер: бодлогыг хаана хэрэгжүүлэх вэ

Хоёр клиентийн бүлгийг өөр дэд сүлжээнд байрлуулах нь тусгаарлалт мэт харагдах боловч тийм биш. Хаяг нь багц хаанаас ирж байгаа мэт харагдахыг тодорхойлдог бол зөвшөөрөл нь түүнийг дамжуулагчийн гаргах шийдвэр юм. Энэ асуултад маск биш, тохиргоо хариулдаг тул ямар ч дүрэм бичихээс өмнө хосын урсгалыг аль бүрэлдэхүүн дамжуулахыг шийдээрэй.

Дэд сүлжээ бол шошго, дүрэм биш

Бүлэг бүрт нэг сан хуваарилах нь уншихад хялбар хаяг өгдөг, өөр юу ч үгүй. Нэмэлт маршрут хүлээн авсан клиент хүртээмж олж авсан бөгөөд хүртээмж нь зөвшөөрөл биш. Ярих зөвшөөрөл дамжуулах шийдвэрт байдаг бөгөөд серверийн тохиргооноос хамаарч демон эсвэл цөмд байж болно.

Хаягийн эзэмшил нь угтварыг бүлгийн сонгогч болгон ашиглах боломжтой болгодог. Баталгаажсан иргэн бүр урьдчилан таамаглах боломжтой хаяг эсвэл мужид тохирох ёстой бөгөөд хэд хэдэн төхөөрөмж нэг итгэмжлэл, нэг хуваарилалтыг хуваалцмагц энэ тохирол алдагдана. Эх сурвалжийн угтварт найдахын өмнө иргэншил, зэрэгцээ байдлыг шийдээрэй, учир нь аль машин залгаж байгааг таамагласан бодлого хамгийн муу мөчид буруу машинд зөвшөөрөл өгдөг.

Хосын урсгалыг дамжуулах замыг сонго

Демон хосын багцуудыг өөрийн процесс дотор дамжуулах үед тэдгээр багц хэзээ ч хостын дамжуулах дэгээнд хүрдэггүй, тиймээс цөмийн дүрэм тэдгээрийг харж чадахгүй. Тэр дотоод дамжуулалтыг идэвхгүй болгоход цөм нь ердийн дамжуулах дүрэм үйлчилдэг дамжуулах цэг болно.

# peer forwarding inside the daemon: enforce with per-group policy instead of FORWARD rules
client-to-client
# kernel forwarding path: remove the line above, then filter in the forward chain

Ачааллаас гаргасан өгөгдлийн суваг болон бүтээгдэхүүний удирддаг серверүүд өөрсдийн хэрэгжүүлэх загвараа нийтэлдэг тул нийгэмлэгийн зан төлөвийг таамаглахын оронд алийг нь ажиллуулж байгаагаа баталгаажуулаарай. Зайлсхийх нь зүйтэй алдаа бол хяналтад зөв харагдах боловч ажиллах үед хэзээ ч асуудаггүй дүрэм юм.

Дүрмээс өмнө матрицыг бич

Богино матриц нь дүрмийн багцаас хянахад хялбар бөгөөд хэрэгжүүлэлт биелүүлэх ёстой гэрээ: нэг бүлгийн хосууд зөвшөөрөгдөнө, бүлгүүдийн хоорондох хосууд хориглоно, хоёр бүлэг нэг нэртэй хуваалцсан үйлчилгээнд зөвшөөрөгдөнө, бусад бүх зүйл хориглоно. Галт хананы редакторыг нээхээс өмнө эдгээр дөрвөн мөрийг бичээрэй. Дүрмийн синтаксийг уншдаггүй хянагч ч матрицыг шалгаж чадна. Дараа нь хэрэгжүүлэлт зөвхөн мөрүүдэд нийцэх ёстой.

Бичихдээ гурван очих газрын ангийг тусдаа байлга. VPN хост дээрх үйлчилгээ бол орон нутгийн оролт, өөр клиент бол хосын дамжуулалт, хаалганы цаанадах машин бол өөр дамжуулах зам. Нэг өгөөмөр дүрэм гурвыг бүгдийг нь санамсаргүйгээр өгч болох бөгөөд ингэснээр бүлгийн бодлого нэмэлт алхамтай хавтгай сүлжээ болдог. Мөр бүрийн хажууд ангийг бичээрэй, санаа дараагийн засварт ч үлдэх болтугай.

Дүрмүүдийг амьдрах газарт нь тавь

Шийдвэрүүдийг галт хананы бусад хэсгийг арчилдаг газарт, тэдгээрийг залгиж болох зөвшөөрөх дүрмээс өмнө нэмээрэй. Дүрмийн дараалал нь бодлогын хэсэг бөгөөд өргөн зөвшөөрлийн дараа тавьсан зөв дүрэм юу ч хэрэгжүүлэхгүй. Өөрчлөлтийн өмнө болон дараа дүрмийн дугаарыг тэмдэглээрэй. Редакторт байгаа боловч ажиллаж буй дүрмийн багцад байхгүй бодлого бол төлөвлөгөө, хяналт биш.

Бодлого өөрчлөгдөхөд аль хэдийн байгаа урсгалуудад юу тохиолдохыг шийдээрэй, учир нь өөрчлөлтийн өмнө нээгдсэн сесс дараа нь үргэлжилж болно. Гарч буй гишүүн хандалтаа шууд алдах ёстой бол дүрмийн багцад холболт өөрөө хаагдахыг хүлээхийн оронд тэр төлөвийг дуусгах арга хэрэгтэй.

Дүрмүүдийг галт хананы бусад хэсгийг эзэмшдэг механизмаар байнгын болгож, матрицыг тэдний хажууд бүртгээрэй. Бүртгэгдээгүй бодлого дараагийн ослын үеэр ой санамжаас дахин гаргагдана, ихэвчлэн яарч байгаа хүнээр.

Хоёр талаас нь батал

Бүлэг бүрийн нэг клиентээс нэг бүлгийн доторх хүртээмж, бүлгүүдийн хоорондын алдаа, хуваалцсан үйлчилгээг туршаарай. Нэг клиентээс нэг туршилт матрицын талыг баталдаг бөгөөд орхигдсон тал нь ихэвчлэн буруу тал байдаг. Хориглох чиглэлийг хоёр удаа давтаарай, учир нь кэшлэсэн сесс хэрэгжүүлэлтийн алдааг нууж болно. Аль хосыг туршсанаа бүртгээрэй, дараагийн хүн давтахгүй байг.

Туннель IPv6 дамжуулдаг бол шалгалтыг тэр протокол дээр давтаж, ердийн програмын баталгаажуулалтыг хэвээр үлдээгээрэй. Эх сурвалжийн угтвар нь бүртгэл биш тул сүлжээний бодлогыг давсан нь үйлчилгээ дуудагчид итгэх ёстой гэсэн үг биш.