Statiske tunneladresser i pfSense: preferanse eller reservasjon?

To design ser like ut på papiret og oppfører seg svært forskjellige når en regel avhenger av dem. Den ene skriver en adresse inn i en klientoverstyring og stoler på adressen som identitet. Den andre stenger dynamisk opptak helt, slik at et endepunkt enten har en unik tildeling eller ikke kobler til. Bare den andre gjør en adresse til et policyunderlag du kan forsvare, og forskjellen er verdt å forstå før du skriver en eneste brannmurregel.

Hva en overstyringsadresse egentlig lover

En klientspesifikk overstyring bærer alternativer per klient, inkludert en foretrukket tunneladresse. Netgate beskriver adressen som en preferanse og ikke som en reservasjon, noe som betyr at den dynamiske poolen ikke gir fra seg adressen for noen andre.

Det er som regel greit. En kollisjon er sjelden, og klienten får normalt det den ba om, noe som er nok for bekvemmelighet og ikke nok for autorisasjon. Bekvemmelighet og autorisasjon er forskjellige krav, og bare ett av dem overlever en kollisjon.

Med subnettopologi tar feltet klientadressen sammen med serverens nettverksmaske, slik at en adresse inne i en 10.90.0.0/24-tunnel skrives som 10.90.0.10/24.

Ingenting av dette reserverer nummeret. En klient hvis overstyring ikke matcher, eller en dobbel økt, kan havne et annet sted i poolen, og en regel som er bundet til adressen beskriver da noen som ikke er der.

Lukk den dynamiske veien med en avgrenset standard

Alternativet er en utelukkende statisk server: hvert opptatte endepunkt har sin egen identitet og sin egen unike adresse, og ingenting annet slipper inn.

Å implementere det betyr en DEFAULT-overstyring avgrenset til den ene serveren med blokkering av tilkoblinger aktivert. En klient uten en matchende overstyring kan da ikke falle tilbake på vanlig dynamisk opptak. Den ene linjen er det som gjør en preferanse om til et lukket sett.

Omfang betyr noe. En standardoverstyring brukt på hver VPN-instans på maskinen vil låse ute urelaterte tunneler, og den feilen ser ut som en ødelagt tjeneste snarere enn en policybeslutning. Bind den til den ene serveren hvis opptaksmodell du endrer. Noter deretter omfanget i endringsloggen, fordi neste person ikke vil huske hvilken tunnel den hører til.

Revider hele det tillatte settet etterpå. Standardblokkeringen retter ikke en navngitt overstyring som er latt uten adresse, og det endepunktet vil ganske enkelt ikke kunne koble til uten et tydelig hint om hvorfor.

Match identiteten serveren faktisk bruker

En overstyring matcher noe. På en server som matcher sertifikaters common names, må overstyringsnavnet være det common name, ikke personens visningsnavn. Kopier det fra sertifikatet i stedet for fra kontolisten.

En server som er konfigurert til å bruke brukernavnet som common name, matcher på en helt annen nøkkel, og en overstyring oppkalt etter sertifikatet vil aldri utløses. Les innstillingen i stedet for å utlede den fra det kontolisten viser.

Behold de ekstra autentiseringsfaktorene utrullingen krever. En lukket adressemodell endrer hvem som får koble til og hvilken adresse de får; den erstatter ikke sertifikatkontrollen eller den andre faktoren.

Skriv tilgangsreglene når kartet er solid

Når kartet fra identitet til adresse er lukket, kan regler referere til adresser uten å late som de er personer. Et alias som grupperer én persons endepunkter, kan nå en bestemt tjeneste mens et annet alias når noe annet. Aliaset blir det reviderbare objektet, og adressen blir en implementasjonsdetalj inni det.

Hold destinasjoner og porter eksplisitte. Å tillate hele det lokale nettverket fra hele tunnelpoolen er nettopp det designet denne øvelsen skulle erstatte.

Les floating-, gruppe- og grensesnittsregler i deres reelle evalueringsrekkefølge, fordi en tidligere bred passering overstyrer en senere smal. Å slå av intern videresending fra klient til klient holder peer-trafikk ved grensen der disse reglene revideres. En regel som bare finnes på papiret, er ikke håndheving.

Test de negative tilfellene

Prøv fire nye tilkoblinger: et navngitt endepunkt, ett helt uten overstyring, en tjeneste som burde være nåbar og en som ikke burde være det. Det ikke oppførte endepunktet er det viktige tilfellet, fordi det er det designet finnes for å stoppe. Hvis det kobler til, gjør standardblokkeringen ikke jobben sin.

Kontroller IPv6 separat, siden en IPv4-adressepolicy ikke sier noe om en andre stack. Bekreft deretter at applikasjonen fortsatt autoriserer brukeren, fordi en tunneladresse er et nettverksfaktum og ikke bevis på hvem som sitter ved tastaturet. Begge kontrollene hører i akseptnotatet.

Planlegg til slutt migreringen. Nye overstyringer og smale regler endrer ikke allerede etablerte økter bakover, så eksisterende tilstander må utløpe eller ryddes bevisst.