pfSense मधील स्थिर बोगदा पत्ते: प्राधान्य की आरक्षण?

दोन रचना कागदावर सारख्याच दिसतात आणि नियम त्यांच्यावर अवलंबून असताना खूप वेगळे वागतात। एक क्लायंट ओव्हरराइडमध्ये पत्ता लिहितो आणि पत्त्यावर ओळख म्हणून विश्वास ठेवतो। दुसरा गतिशील प्रवेश पूर्णपणे बंद करतो, त्यामुळे एखाद्या अंतबिंदूला एकतर अद्वितीय नेमणूक असते किंवा तो जोडला जात नाही। फक्त दुसरा पत्त्याचे अशा धोरण इनपुटमध्ये रूपांतर करतो ज्याचा तुम्ही बचाव करू शकता, आणि एकही फायरवॉल नियम लिहिण्यापूर्वी हा फरक समजून घेणे योग्य आहे।

ओव्हरराइड पत्ता प्रत्यक्षात काय वचन देतो

क्लायंट-विशिष्ट ओव्हरराइड प्रति क्लायंट पर्याय ठेवतो, त्यात पसंतीचा बोगदा पत्ताही असतो। Netgate त्या पत्त्याला आरक्षणाऐवजी प्राधान्य म्हणतो, म्हणजे गतिशील पूल तो पत्ता दुसऱ्या कोणासाठी सोडत नाही।

हे सहसा ठीक असते। टक्कर दुर्मिळ आहे, आणि क्लायंटला सहसा त्याने मागितलेलेच मिळते, जे सोयीसाठी पुरते आणि अधिकृततेसाठी पुरत नाही। सोयी आणि अधिकृतता वेगवेगळ्या गरजा आहेत, आणि टक्करेत त्यातली फक्त एकच टिकते।

सबनेट टोपोलॉजीमध्ये फील्ड क्लायंटचा पत्ता सर्व्हर नेटवर्कच्या मास्कसह घेते, म्हणून 10.90.0.0/24 बोगद्यातील पत्ता 10.90.0.10/24 असे लिहिला जातो।

यातले काहीही क्रमांक आरक्षित करत नाही। ज्या क्लायंटचे ओव्हरराइड जुळत नाही, किंवा दुहेरी सत्र, पूलमध्ये दुसरीकडे जाऊ शकते, आणि पत्त्यावर अवलंबून असलेला नियम मग तिथे नसलेल्या व्यक्तीचे वर्णन करतो।

मर्यादित डीफॉल्टने गतिशील मार्ग बंद करा

पर्याय म्हणजे केवळ स्थिर सर्व्हर: प्रत्येक स्वीकारलेल्या अंतबिंदूला स्वतःची ओळख आणि स्वतःचा अद्वितीय पत्ता असतो, आणि दुसरे काहीही आत येत नाही।

ते अंमलात आणणे म्हणजे एक DEFAULT ओव्हरराइड जो केवळ त्या एका सर्व्हरपुरता मर्यादित असेल आणि कनेक्शन ब्लॉकिंग सुरू असेल। मग जुळणारे ओव्हरराइड नसलेला क्लायंट सामान्य गतिशील प्रवेशाकडे परत जाऊ शकत नाही। हीच एक ओळ प्राधान्याचे बंद संचात रूपांतर करते।

व्याप्ती महत्त्वाची आहे। डिव्हाइसवरील प्रत्येक VPN उदाहरणावर लागू केलेला डीफॉल्ट ओव्हरराइड असंबंधित बोगदे बंद करेल, आणि ही बिघाड धोरण निर्णयापेक्षा तुटलेल्या सेवेसारखी दिसते। तो ज्या एका सर्व्हरचा प्रवेश नमुना तुम्ही बदलत आहात त्यालाच बांधा। नंतर व्याप्ती बदल नोंदीत लिहा, कारण पुढच्या व्यक्तीला ती कोणत्या बोगद्याची आहे हे आठवणार नाही।

नंतर संपूर्ण अनुमत संच तपासा। डीफॉल्ट ब्लॉक पत्त्याशिवाय राहिलेले नामांकित ओव्हरराइड दुरुस्त करत नाही, आणि ते अंतबिंदू स्पष्ट संकेताशिवाय जोडले जाणार नाही।

सर्व्हर प्रत्यक्षात वापरत असलेल्या ओळखीशी जुळवा

ओव्हरराइड कशाशी तरी जुळतो। ज्या सर्व्हरवर प्रमाणपत्रांची सामान्य नावे जुळवली जातात, तिथे ओव्हरराइडचे नाव तेच सामान्य नाव असले पाहिजे, व्यक्तीचे दर्शनी नाव नाही। ते खाते सूचीतून नाही, प्रमाणपत्रातून कॉपी करा।

वापरकर्तानाव सामान्य नाव म्हणून वापरण्यासाठी संरचित सर्व्हर पूर्णपणे वेगळ्या किल्लीवर जुळवतो, आणि प्रमाणपत्राच्या नावाने ठेवलेला ओव्हरराइड कधीही सक्रिय होणार नाही। सेटिंग वाचा, खाते सूचीतून अंदाज करू नका।

तैनातीला आवश्यक असलेले अतिरिक्त प्रमाणीकरण घटक टिकवा। बंद पत्ता नमुना बदलतो की कोण जोडू शकतो आणि कोणता पत्ता मिळतो; तो प्रमाणपत्र तपासणी किंवा दुसऱ्या घटकाची जागा घेत नाही।

नकाशा बरोबर झाल्यावर प्रवेश नियम लिहा

ओळखीपासून पत्त्यापर्यंतचा नकाशा बंद झाल्यावर नियम पत्त्यांचा संदर्भ देऊ शकतात, त्यांना व्यक्ती असल्याचे भासवून नाही। एका व्यक्तीचे अंतबिंदू गटबद्ध करणारा उपनाव विशिष्ट सेवेपर्यंत पोहोचू शकतो, तर दुसरा उपनाव दुसऱ्या गोष्टीपर्यंत पोहोचतो। उपनाव पुनरावलोकनयोग्य वस्तू बनतो, आणि पत्ता त्याच्यातील अंमलबजावणी तपशील बनतो।

गंतव्ये आणि पोर्ट स्पष्ट ठेवा। संपूर्ण बोगदा पूलातून संपूर्ण स्थानिक नेटवर्कला परवानगी देणे हीच ती रचना आहे जी हा सराव बदलण्यासाठी होता।

फ्लोटिंग, गट आणि इंटरफेस नियम त्यांच्या प्रत्यक्ष मूल्यांकन क्रमाने वाचा, कारण आधीचा व्यापक मार्ग नंतरच्या अरुंद मार्गाला निष्फळ करतो। क्लायंट-ते-क्लायंट अंतर्गत अग्रेषण बंद केल्याने सहकारी रहदारी त्या सीमेवर राहते जिथे हे नियम तपासले जातात। फक्त कागदावर असलेला नियम अंमलबजावणी नाही।

नकारात्मक प्रकरणे तपासा

चार नवीन कनेक्शन वापरून पहा: नामांकित अंतबिंदू, कोणत्याही ओव्हरराइडशिवाय एक, पोहोचण्यायोग्य असावी अशी सेवा आणि नसावी अशी सेवा। यादीत नसलेला अंतबिंदू महत्त्वाचे प्रकरण आहे, कारण रचना तो थांबवण्यासाठीच आहे। जर तो जोडला गेला, तर डीफॉल्ट ब्लॉक आपले काम करत नाही।

IPv6 स्वतंत्रपणे तपासा, कारण IPv4 पत्ता धोरण दुसऱ्या स्टॅकबद्दल काहीही सांगत नाही। नंतर पुष्टी करा की अनुप्रयोग अजूनही वापरकर्त्याला अधिकृत करतो, कारण बोगदा पत्ता ही नेटवर्कची वस्तुस्थिती आहे, कळफलकावर कोण आहे याचा पुरावा नाही। दोन्ही तपासण्या स्वीकृती टिपेत असाव्यात।

शेवटी, स्थलांतराची योजना करा। नवीन ओव्हरराइड आणि अरुंद नियम आधीच स्थापित सत्रे मागीलप्रमाणे बदलत नाहीत, म्हणून विद्यमान स्थिती संपली पाहिजे किंवा जाणीवपूर्वक साफ केली पाहिजे।