Alamat terowong statik dalam pfSense: keutamaan atau tempahan?

Dua reka bentuk kelihatan serupa di atas kertas dan berkelakuan sangat berbeza apabila sesuatu peraturan bergantung padanya. Satu menaip alamat ke dalam penggantian klien dan mempercayai alamat itu sebagai identiti. Yang lain menutup sepenuhnya kemasukan dinamik, jadi titik akhir sama ada mempunyai penetapan unik atau tidak bersambung. Hanya yang kedua mengubah alamat menjadi input dasar yang boleh anda pertahankan, dan perbezaannya wajar difahami sebelum menulis satu peraturan tembok api pun.

Apa yang sebenarnya dijanjikan alamat penggantian

Penggantian khusus klien membawa pilihan bagi setiap klien, termasuk alamat terowong pilihan. Netgate menyifatkan alamat itu sebagai keutamaan dan bukan tempahan, yang bermaksud kumpulan dinamik tidak melepaskan alamat itu untuk orang lain.

Biasanya itu tidak mengapa. Perlanggaran jarang berlaku, dan klien biasanya menerima apa yang diminta, cukup untuk kemudahan dan tidak cukup untuk kebenaran. Kemudahan dan kebenaran ialah keperluan berbeza, dan hanya satu daripadanya bertahan daripada perlanggaran.

Dengan topologi subrangkaian, medan itu mengambil alamat klien bersama topeng rangkaian pelayan, jadi alamat di dalam terowong 10.90.0.0/24 ditulis sebagai 10.90.0.10/24.

Tiada satu pun daripada itu menempah nombornya. Klien yang penggantiannya tidak sepadan, atau sesi berganda, boleh berakhir di tempat lain dalam kumpulan, dan peraturan yang berpaksikan alamat kemudian menggambarkan seseorang yang tidak ada di sana.

Tutup laluan dinamik dengan nilai lalai yang berlingkup

Alternatifnya ialah pelayan khusus statik: setiap titik akhir yang diterima mempunyai identiti sendiri dan alamat unik sendiri, dan tiada yang lain masuk.

Melaksanakannya bermakna penggantian DEFAULT yang dihadkan kepada satu pelayan itu dengan penyekatan sambungan diaktifkan. Klien tanpa penggantian yang sepadan kemudian tidak boleh kembali kepada kemasukan dinamik biasa. Baris tunggal itulah yang mengubah keutamaan menjadi himpunan tertutup.

Skop penting. Penggantian lalai yang digunakan pada setiap instans VPN pada peranti akan mengunci terowong yang tidak berkaitan, dan kegagalan itu kelihatan seperti perkhidmatan rosak dan bukan keputusan dasar. Ikatkannya pada satu pelayan yang model kemasukannya anda ubah. Kemudian catat skop dalam rekod perubahan, kerana orang seterusnya tidak akan ingat terowong mana yang dimaksudkan.

Selepas itu audit seluruh himpunan yang dibenarkan. Penyekatan lalai tidak membaiki penggantian bernama yang ditinggalkan tanpa alamat, dan titik akhir itu akan gagal bersambung tanpa petunjuk jelas tentang puncanya.

Padankan dengan identiti yang benar-benar digunakan pelayan

Penggantian memadankan sesuatu. Pada pelayan yang memadankan nama umum sijil, nama penggantian mestilah nama umum itu, bukan nama paparan orangnya. Salin daripada sijil dan bukan daripada senarai akaun.

Pelayan yang dikonfigurasikan menggunakan nama pengguna sebagai nama umum memadankan kunci yang sama sekali berbeza, dan penggantian yang dinamakan sempena sijil tidak akan pernah aktif. Baca tetapan itu dan jangan menyimpulkannya daripada apa yang ditunjukkan senarai akaun.

Kekalkan faktor pengesahan tambahan yang dituntut pemasangan. Model alamat tertutup mengubah siapa yang boleh bersambung dan alamat mana yang diterima; ia tidak menggantikan pemeriksaan sijil atau faktor kedua.

Tulis peraturan akses selepas peta sudah betul

Setelah peta identiti ke alamat tertutup, peraturan boleh merujuk alamat tanpa berpura-pura bahawa ia orang. Alias yang mengumpulkan titik akhir seorang individu boleh mencapai perkhidmatan tertentu manakala alias lain mencapai perkara lain. Alias menjadi objek yang boleh disemak, dan alamat menjadi butiran pelaksanaan di dalamnya.

Kekalkan destinasi dan port secara eksplisit. Membenarkan seluruh rangkaian tempatan daripada seluruh kumpulan terowong ialah reka bentuk yang sepatutnya digantikan oleh latihan ini.

Baca peraturan terapung, kumpulan dan antara muka dalam susunan penilaian sebenar, kerana laluan lebar yang lebih awal mengalahkan laluan sempit yang kemudian. Mematikan penghantaran dalaman antara klien mengekalkan trafik sesama rakan di sempadan tempat peraturan itu disemak. Peraturan yang hanya wujud di atas kertas bukan penguatkuasaan.

Uji kes negatif

Cuba empat sambungan baharu: titik akhir bernama, satu tanpa sebarang penggantian, perkhidmatan yang sepatutnya boleh dicapai, dan perkhidmatan yang tidak sepatutnya. Titik akhir yang tidak tersenarai ialah kes penting, kerana itulah yang hendak dihentikan oleh reka bentuk ini. Jika ia bersambung, penyekatan lalai tidak menjalankan tugasnya.

Periksa IPv6 secara berasingan, kerana dasar alamat IPv4 tidak berkata apa-apa tentang tindanan kedua. Kemudian pastikan aplikasi masih membenarkan pengguna, kerana alamat terowong ialah fakta rangkaian dan bukan bukti siapa yang berada di papan kekunci. Kedua-dua pemeriksaan termasuk dalam nota penerimaan.

Akhir sekali, rancang penghijrahan. Penggantian baharu dan peraturan sempit tidak mengubah sesi yang sudah terbentuk secara retrospektif, jadi keadaan sedia ada mesti luput atau dipadam dengan sengaja.