Indirizzi statiku tal-tunnel f'pfSense: preferenza jew riżerva?

Żewġ disinji jidhru simili fuq il-karta u jaġixxu b'mod ferm differenti meta regola tiddependi minnhom. Waħda tdaħħal indirizz fi sostituzzjoni tal-klijent u tafda l-indirizz bħala identità. L-oħra tagħlaq għal kollox l-ammissjoni dinamika, sabiex punt tat-tarf ikollu assenjazzjoni unika jew ma jgħaqqadx. It-tieni biss tibdel indirizz f'input ta' politika li tista' tiddefendi, u d-differenza tisħaq tinftiehem qabel ma tikteb saħansitra regola waħda tal-ħajt tan-nar.

X'tigħid tassew indirizz ta' sostituzzjoni

Sostituzzjoni speċifika għall-klijent ġġorr għażliet għal kull klijent, inkluż indirizz preferut tal-tunnel. Netgate tiddeskrivi dak l-indirizz bħala preferenza u mhux riżerva, li jfisser li l-ġabra dinamika ma ċċedix l-indirizz lil ħadd ieħor.

Dan normalment huwa tajjeb. Il-kolliżjoni hija rari, u l-klijent normalment jirċievi dak li talab, li huwa biżżejjed għall-konvenjenza u mhux biżżejjed għall-awtorizzazzjoni. Konvenjenza u awtorizzazzjoni huma rekwiżiti differenti, u waħda biss minnhom tgħaddi minn kolliżjoni.

B'topoloġija tas-subnet, il-qasam jieħu l-indirizz tal-klijent flimkien mal-mask tan-netwerk tas-server, għalhekk indirizz ġewwa tunnel 10.90.0.0/24 jinkiteb bħala 10.90.0.10/24.

Xejn minn dan ma jirriżerva n-numru. Klijent li s-sostituzzjoni tiegħu ma taqbilx, jew sessjoni doppja, jista' jispiċċa x'imkien ieħor fil-ġabra, u regola bbażata fuq l-indirizz allura tiddeskrivi lil xi ħadd li mhuwiex hemm.

Agħlaq it-triq dinamika b'default limitat

L-alternattiva hija server biss statiku: kull punt tat-tarf ammess għandu l-identità tiegħu u l-indirizz uniku tiegħu, u xejn ieħor ma jidħol.

L-implimentazzjoni tfisser sostituzzjoni DEFAULT limitata għal dak is-server wieħed b'imblukkar tal-konnessjonijiet mixgħul. Klijent mingħajr sostituzzjoni li taqbel ma jistax imbagħad jaqa' lura għall-ammissjoni dinamika ordinarja. Dik il-linja waħda hija dik li tagħmel preferenza f'sett magħluq.

L-ambitu huwa importanti. Sostituzzjoni default applikata għal kull istanza VPN fuq l-apparat ser tissakkar tunnels mhux relatati, u dik il-falliment tidher bħala servizz imkisser minflok deċiżjoni ta' politika. Intrabtaha mas-server wieħed li qed tibdel il-mudell tal-ammissjoni tiegħu. Imbagħad innota l-ambitu fir-rekord tal-bidliet, għax il-persuna li jmiss mhux se tiftakar liema tunnel jappartjeni għalih.

Wara dan awditja s-sett permess kollu. L-imblukkar default ma jsewwix sostituzzjoni msemmija li tħalliet mingħajr indirizz, u dak il-punt tat-tarf sempliċement ma jgħaqqadx mingħajr ħjiel ċar għaliex.

Qabbel mal-identità li s-server juża tassew

Sostituzzjoni taqbel ma' xi ħaġa. Fuq server li jqabbel l-ismijiet komuni taċ-ċertifikati, l-isem tas-sostituzzjoni jrid ikun dak l-isem komuni, mhux l-isem muri tal-persuna. Ikkupjah miċ-ċertifikat minflok mil-lista tal-kontijiet.

Server konfigurat biex juża l-isem tal-utent bħala isem komuni jqabbel fuq ċavetta kompletament differenti, u sostituzzjoni msemmija għaċ-ċertifikat qatt ma tattiva. Aqra l-ambjent minflok ma tohroġh mil-lista tal-kontijiet.

Żomm il-fatturi tal-awtentikazzjoni addizzjonali li jitlob l-użu. Mudell magħluq tal-indirizzi jbiddel min jista' jgħaqqad u liema indirizz jirċievi; ma jissostitwixxix il-verifika taċ-ċertifikat jew it-tieni fattur.

Ikteb ir-regoli tal-aċċess wara li l-mappa tkun soda

Ladarba l-mappa mid-identità għall-indirizz tkun magħluqa, ir-regoli jistgħu jirreferu għall-indirizzi mingħajr ma jippretendu li huma nies. Alias li jiggruppa l-punti tat-tarf ta' persuna waħda jista' jasal għal servizz partikolari filwaqt li alias ieħor jasal għal xi ħaġa oħra. L-alias isir l-oġġett reviżabbli, u l-indirizz isir dettall tal-implimentazzjoni ġo fih.

Żomm id-destinazzjonijiet u l-portijiet espliċiti. Li tippermetti n-netwerk lokali kollu mill-ġabra kollha tat-tunnels huwa eżattament id-disinn li dan l-eżerċizzju kellu jissostitwixxi.

Aqra r-regoli floating, tal-grupp u tal-interface fl-ordni reali tal-evalwazzjoni tagħhom, għax passaġġ wiesa' preċedenti jfixkel wieħed dejjaq sussegwenti. L-għeluq tal-passaġġ intern bejn il-klijenti jżomm it-traffiku bejn il-pari fil-fruntiera fejn dawk ir-regoli jiġu riveduti. Regola li teżisti biss fuq il-karta mhijiex infurzar.

Ittestja l-każijiet negattivi

Ipprova erba' konnessjonijiet ġodda: punt tat-tarf imsemmi, ieħor mingħajr ebda sostituzzjoni, servizz li għandu jkun aċċessibbli u ieħor li m'għandux ikun. Il-punt tat-tarf mhux elenkat huwa l-każ importanti, għax huwa dak li d-disinn jeżisti biex iwaqqfu. Jekk jgħaqqad, l-imblukkar default mhux qed jagħmel xogħlu.

Iċċekkja IPv6 separatament, għax politika tal-indirizzi IPv4 ma tgħid xejn dwar it-tieni stack. Imbagħad ikkonferma li l-applikazzjoni għadha tawtorizza l-utent, għax indirizz tal-tunnel huwa fatt tan-netwerk u mhux prova ta' min qiegħed fuq it-tastiera. Iż-żewġ verifiki jappartjenu għan-nota tal-aċċettazzjoni.

Fl-aħħar, ippjana l-migrazzjoni. Sostituzzjonijiet ġodda u regoli dejqa ma jbiddlux lura s-sessjonijiet diġà stabbiliti, għalhekk l-istati eżistenti jridu jiskadu jew jitħassru b'mod deliberat.