Klijenti VPN u l-LAN: meta tuża żona separata

Li tpoġġi l-interfaċċja tat-tunnel fiż-żona tal-LAN huwa l-iqsar triq lejn VPN li taħdem, u ġeneralment hija l-valur default ħażin. Tagħti lill-klijent remot l-istess fiduċja li għandha l-LAN bil-kejbil, ħaġa li x-xogħol rari jitlobha. Żona separata tiswa ftit regoli u tagħmel il-konfini viżibbli. Id-deċiżjoni mhix jekk iż-żoni humiex aħjar; hija liema tliet kundizzjonijiet japplikaw għan-netwerk tiegħek.

L-isem taż-żona ma jikkripta xejn u ma jawtentikax utent. Huwa biss jiġġruppa l-interfaċċji għall-mudell tal-politika tal-firewall.

X’jikkontrolla tassew is-sħubija fiż-żona

Żona tiġġruppa interfaċċji jew traffiku fil-mudell tal-firewall. Imbagħad is-settings tal-input, output u forward tagħha jmexxu rwoli differenti. L-input huwa traffiku lejn ir-router innifsu; il-forward huwa traffiku minnu lejn host ieħor. Id-dokumentazzjoni taż-żoni ta’ OpenWrt tqis input, output u forward bħala settings separati proprju għal din ir-raġuni.

Permess miż-żona VPN għaż-żona LAN mhuwiex awtomatikament permess maqlub. Regoli tal-forward huma direzzjonali, u regola li tippermetti traffiku mill-klijent għas-server ma tippermettix sessjonijiet mis-server għall-klijent. Klijent li jista’ jiftaħ konnessjoni lejn server mhuwiex klijent li s-server jista’ jiftaħ konnessjoni lura lejh.

Din id-distinzjoni hija r-raġuni għaliex żona separata hija utli: tista’ tiddikjara kull direzzjoni u kull rwol b’mod espliċitu. Ikteb id-direzzjoni ħdejn kull regola.

L-ewwel deċiżjoni: input, forward jew it-tnejn

Jekk il-klijenti remota għandhom bżonn DNS mir-router, ippermetti l-input għal dak is-servizz biss. Jekk għandhom bżonn jilħqu server tal-fajls, ippermetti l-forward lejn dak id-destinazzjoni. Ħafna mid-disinni tal-VPN għandhom bżonn it-tnejn, imma għal servizzi differenti.

Aċċess wiesa’ tal-input għal kull servizz lokali kważi qatt mhu meħtieġ. Ittratta l-ġestjoni tar-router bħala deċiżjoni separata mill-aċċess għall-applikazzjonijiet. Jekk ir-router għandu bżonn biss iwieġeb għad-DNS, ikteb dak il-permess wieħed u ħalli l-bqija magħluq.

It-tieni deċiżjoni: liema riżorsi għandhom bżonn il-klijenti remota

Elenka l-firxiet tal-klijenti, id-destinazzjonijiet u s-servizzi li l-VPN għandu jipprovdi qabel ma tikteb ir-regoli. Lista tad-destinazzjonijiet hija aktar utli minn tikketta ta’ fiduċja, għax tibqa’ teżisti wara migrazzjoni tal-firewall.

Żomm l-interfaċċji tal-ġestjoni separati mill-aċċess normali għall-applikazzjonijiet. Klijent remot li jasal għal wiki mhuwiex għalhekk neċessarju li jkollu l-paġna tal-amministratur tar-router jew il-konsola tal-hypervisor.

Jekk destinazzjoni permessa tista’ tgħaddi ’l quddiem, il-konfini taż-żona jieqaf fil-firewall, mhux f’dak li tagħmel id-destinazzjoni wara.

It-tielet deċiżjoni: kif ser tipprova l-konfini

Ittestja fluss permess u ieħor miċħud apposta wara kull bidla. L-ippruvar li sit web jitgħabba ma jiżvelax permess wiesa’ mhux intenzjonat. Ittestja mill-firxa tal-indirizzi tal-klijent VPN, mhux mil-LAN, u inkludi d-direzzjoni li tistenna li tfalli. Irreġistra ż-żewġ riżultati ħdejn ir-regola.

Ippreserva l-aċċess tal-irkupru tal-gateway qabel ma tbiddel il-politika taż-żona remota. Uża l-konfigurazzjoni ġestita persistenti minflok editjar waqt it-tħaddim, inkella r-restart li jmiss se jerġa’ jdaħħal il-fiduċja l-qadima. Kopja tal-konfigurazzjoni preċedenti, maħżuna barra mill-apparat, hija l-irħas treġġigħ lura li qatt se jkollok.

Meta n-netwerk jikber, iddokumenta s-sħubija u l-iskop tar-regoli. Interfaċċja li għadha kif ġiet imqabbda m’għandhiex tirret privileġġi biss għax xi ħadd tah isem ta’ żona konvenjenti.