Żewġ gruppi ta' klijenti, server wieħed: fejn tiġi infurzata l-politika

It-tqegħid ta' żewġ gruppi ta' klijenti fuq subnets differenti jidher bħal iżolament, u mhuwiex. L-indirizzi jiddeskrivu minn fejn jidher li ġej pakkett, filwaqt li l-permess huwa deċiżjoni li jieħu dak li jġarrha. Dik il-mistoqsija twieġeb il-konfigurazzjoni u mhux il-maskra, għalhekk iddeċiedi liema komponent iġorr it-traffiku bejn il-pari qabel ma tikteb xi regola.

Subnet hija tikketta, mhux regola

L-għoti ta' pool wieħed għal kull grupp jagħtik indirizzi li jinqraw u xejn aktar. Klijent li jaċċetta rotta addizzjonali kiseb aċċessibilità, u l-aċċessibilità mhix awtorizzazzjoni. Il-permess li titkellem jinsab fid-deċiżjoni tal-ġarr, li tista' tgħix fid-daemon jew fil-kernel skont kif huwa kkonfigurat is-server.

Is-sjieda tal-indirizz hija dik li tagħmel prefiss użabbli bħala selettur tal-grupp. Kull identità awtentikata trid tikkorispondi għal indirizz jew firxa prevedibbli, u dik il-mappa tfalli malli diversi apparati jaqsmu kredenzjali waħda u allokazzjoni waħda. Issolvi l-identità u l-konkorrenza qabel ma tiddependi fuq prefiss tas-sors, għax politika li taqta' liema magna qed iċċempel tawtorizza l-ħażina fl-agħar mument.

Agħżel il-mogħdija li ġġorr it-traffiku bejn il-pari

Meta d-daemon iġorr pakketti tal-pari fi ħdan il-proċess tiegħu stess, dawk il-pakketti qatt ma jaslu għall-ganċ tal-ġarr tal-host, għalhekk regola tal-kernel ma tistax tarahom. Itfi dak il-ġarr intern u l-kernel isir il-punt tal-ġarr, fejn japplikaw regoli ordinarji tal-ġarr.

# peer forwarding inside the daemon: enforce with per-group policy instead of FORWARD rules
client-to-client
# kernel forwarding path: remove the line above, then filter in the forward chain

Il-kanali tad-dejta offloadjati u s-serverijiet immexxija mill-prodott jippubblikaw il-mudelli tal-infurzar tagħhom stess, għalhekk ikkonferma liema qed tmexxi minflok ma tassumi l-imġieba tal-komunità. Il-falliment li jistħoqqlu jiġi evitat hija regola li tidher korretta f'reviżjoni u qatt ma tiġi mistħarrġa waqt il-ħidma.

Ikteb il-matriċi qabel ma tikteb ir-regoli

Matriċi qasira hija eħfef biex tiġi riveduta minn sett ta' regoli, u hija l-kuntratt li l-implimentazzjoni trid tissodisfa: pari tal-istess grupp permessi, pari bejn il-gruppi miċħuda, iż-żewġ gruppi permessi għal servizz komuni msemmi wieħed, kull ħaġa oħra miċħuda. Ikteb dawk l-erba' linji qabel ma tiftaħ editur tal-firewall. Reviżur li ma jaqrax is-sintassi tar-regoli xorta jista' jiċċekkja l-matriċi. Imbagħad l-implimentazzjoni trid biss taqbel mal-linji.

Żomm it-tliet klassijiet tad-destinazzjoni separati waqt li tkitha. Servizz fuq il-host VPN huwa input lokali, klijent ieħor huwa tranżitu tal-pari, u magna wara l-bieb hija mogħdija tal-ġarr differenti. Regola waħda ġeneruża tista' tagħti t-tlieta kollha b'aċċident, u hekk politika tal-grupp issir netwerk ċatt bi passi żejda. Ikteb il-klassi ħdejn kull ringiela sabiex l-intenzjoni tgħix fl-editjar li jmiss.

Qiegħed ir-regoli fejn jibqgħu ħajjin

Żid id-deċiżjonijiet fl-istess post fejn jinżamm il-bqija tal-firewall, quddiem kull regola permissiva li kieku tiblagħhom. L-ordni tar-regoli hija parti mill-politika, u regola korretta mqiegħda wara aċċettazzjoni wiesgħa ma tinforza xejn. Innota n-numri tar-regoli qabel u wara l-bidla. Politika li teżisti f'editur imma mhux fis-sett tar-regoli li qed jaħdem hija pjan, mhux kontroll.

Iddeċiedi x'jiġri mill-flussi li diġà jeżistu meta tinbidel il-politika, għax sessjoni miftuħa qabel il-bidla tista' tkompli wara. Jekk membru li jitlaq irid jitlef l-aċċess minnufih, is-sett tar-regoli jeħtieġ mod kif itemm dak l-istat minflok ma jistenna li l-konnessjoni tagħlaq waħedha.

Agħmel ir-regoli permanenti permezz tal-mekkaniżmu li jippossjedi l-bqija tal-firewall, u rreġistra l-matriċi ħdejhom. Politika mhux irreġistrata terġa' tiġi derivata mill-memorja waqt l-inċident li jmiss, normalment minn xi ħadd bl-għaġla.

Ipprova minn żewġ naħat

Ittestja l-aċċessibilità fl-istess grupp, il-falliment bejn il-gruppi u s-servizz komuni minn klijent wieħed f'kull grupp. Test wieħed minn klijent wieħed jipprova nofs il-matriċi, u n-nofs li jħalli barra huwa normalment dak ħażin. Errepeti d-direzzjoni taċ-ċaħda darbtejn, għax sessjoni fil-cache tista' taħbi żball fl-infurzar. Innota liema par ittestjajt sabiex il-persuna li jmiss ma tergħux tirrepetih.

Errepeti l-verifika fuq IPv6 jekk il-mina ġġorrha, u żomm l-awtentikazzjoni ordinarja tal-applikazzjonijiet. Prefiss tas-sors mhuwiex kont, għalhekk li tgħaddi l-politika tan-netwerk ma jfissirx li servizz għandu jafda lis-sejjieħ.