pfSense मा स्थिर सुरुङ ठेगानाहरू: प्राथमिकता कि आरक्षण?

दुई डिजाइन कागजमा उस्तै देखिन्छन् र नियम तिनीहरूमा निर्भर हुँदा धेरै फरक व्यवहार गर्छन्। एउटाले क्लाइन्ट ओभरराइडमा ठेगाना लेख्छ र ठेगानालाई पहिचान मानेर भरोसा गर्छ। अर्कोले गतिशील प्रवेश पूरै बन्द गर्छ, त्यसैले कुनै अन्तबिन्दुसँग या त अद्वितीय तोकाइ हुन्छ या जोडिँदैन। केवल दोस्रोले ठेगानालाई तपाईंले रक्षा गर्न सक्ने नीति इनपुटमा बदल्छ, र एउटै फायरवाल नियम लेख्नुअघि यो भिन्नता बुझ्न लायक छ।

ओभरराइड ठेगानाले वास्तवमा के वाचा गर्छ

क्लाइन्ट-विशिष्ट ओभरराइडले प्रति क्लाइन्ट विकल्प राख्छ, जसमा मनपर्ने सुरुङ ठेगाना पनि पर्छ। Netgate त्यो ठेगानालाई आरक्षणको सट्टा प्राथमिकता भन्छ, अर्थात् गतिशील पूल त्यो ठेगाना अरू कसैका लागि छोड्दैन।

यो सामान्यतया ठीक हुन्छ। टकराव दुर्लभ छ, र क्लाइन्टले सामान्यतया मागेको कुरा पाउँछ, जुन सुविधाका लागि पर्याप्त छ र अधिकृतताका लागि पर्याप्त छैन। सुविधा र अधिकृतता फरक आवश्यकता हुन्, र टकरावमा तीमध्ये एउटा मात्र बाँच्छ।

सबनेट टोपोलोजीमा फिल्डले क्लाइन्टको ठेगाना सर्भर नेटवर्कको मास्कसँगै लिन्छ, त्यसैले 10.90.0.0/24 सुरुङभित्रको ठेगाना 10.90.0.10/24 लेखिन्छ।

यीमध्ये केहीले पनि नम्बर आरक्षित गर्दैन। जसको ओभरराइड मिल्दैन त्यो क्लाइन्ट, वा दोहोरिएको सत्र, पूलमा अन्यत्र पुग्न सक्छ, र ठेगानामा टेकेको नियमले तब त्यहाँ नभएको व्यक्तिको वर्णन गर्छ।

सीमित पूर्वनिर्धारितले गतिशील बाटो बन्द गर्नुहोस्

विकल्प केवल स्थिर सर्भर हो: हरेक स्वीकृत अन्तबिन्दुको आफ्नै पहिचान र आफ्नै अद्वितीय ठेगाना हुन्छ, र अरू केही भित्र आउँदैन।

यसलाई लागू गर्नु भनेको एउटा DEFAULT ओभरराइड जो केवल त्यही एउटा सर्भरमा सीमित होस् र जडान ब्लकिङ सक्षम होस्। तब मिल्ने ओभरराइड नभएको क्लाइन्ट सामान्य गतिशील प्रवेशमा फर्कन सक्दैन। यही एउटा लाइनले प्राथमिकतालाई बन्द समूहमा बदल्छ।

दायरा महत्त्वपूर्ण छ। यन्त्रको हरेक VPN इन्स्टेन्समा लगाइएको पूर्वनिर्धारित ओभरराइडले असम्बन्धित सुरुङहरू बन्द गर्छ, र यो खराबी नीति निर्णयभन्दा बिग्रिएको सेवाजस्तो देखिन्छ। यसलाई त्यही एउटा सर्भरमा बाँध्नुहोस् जसको प्रवेश मोडेल तपाईं बदल्दै हुनुहुन्छ। त्यसपछि दायरा परिवर्तन लगमा लेख्नुहोस्, किनकि अर्को व्यक्तिले यो कुन सुरुङको हो भनेर सम्झने छैन।

पछि सम्पूर्ण अनुमत समूह जाँच्नुहोस्। पूर्वनिर्धारित ब्लकले ठेगानाविना छुटेको नामित ओभरराइड सुधार्दैन, र त्यो अन्तबिन्दु स्पष्ट संकेतविना जोडिन सक्दैन।

सर्भरले साँच्चै प्रयोग गर्ने पहिचानसँग मिलाउनुहोस्

ओभरराइड कुनै कुरासँग मिल्छ। जुन सर्भरले प्रमाणपत्रका साझा नामहरू मिलाउँछ, त्यहाँ ओभरराइडको नाम त्यही साझा नाम हुनुपर्छ, व्यक्तिको देखिने नाम होइन। यसलाई खाता सूचीबाट होइन, प्रमाणपत्रबाट प्रतिलिपि गर्नुहोस्।

प्रयोगकर्तानामलाई साझा नामका रूपमा प्रयोग गर्न कन्फिगर गरिएको सर्भर पूर्ण रूपमा फरक कुञ्जीमा मिलाउँछ, र प्रमाणपत्रको नाममा राखिएको ओभरराइड कहिल्यै सक्रिय हुँदैन। सेटिङ पढ्नुहोस्, खाता सूचीबाट अनुमान नगर्नुहोस्।

तैनाथीले आवश्यक ठान्ने थप प्रमाणीकरण कारकहरू कायम राख्नुहोस्। बन्द ठेगाना मोडेलले को जोड्न सक्छ र कुन ठेगाना पाउँछ भन्ने बदल्छ; यसले प्रमाणपत्र जाँच वा दोस्रो कारकको ठाउँ लिँदैन।

नक्सा ठीक भएपछि पहुँच नियम लेख्नुहोस्

पहिचानदेखि ठेगानासम्मको नक्सा बन्द भएपछि नियमहरूले ठेगानाको सन्दर्भ दिन सक्छन्, तिनलाई व्यक्ति भएको नाटक नगरी। एउटा व्यक्तिका अन्तबिन्दु समूह गर्ने उपनाम विशिष्ट सेवासम्म पुग्न सक्छ, अर्को उपनाम अरू कुनै कुरासम्म पुग्छ। उपनाम समीक्षायोग्य वस्तु बन्छ, र ठेगाना त्यसभित्रको कार्यान्वयन विवरण बन्छ।

गन्तव्य र पोर्ट स्पष्ट राख्नुहोस्। सम्पूर्ण सुरुङ पूलबाट सम्पूर्ण स्थानीय नेटवर्कलाई अनुमति दिनु ठ्याक्कै त्यही डिजाइन हो जुन यो अभ्यासले बदल्नुपर्ने थियो।

फ्लोटिङ, समूह र इन्टरफेस नियमहरू तिनको वास्तविक मूल्याङ्कन क्रममा पढ्नुहोस्, किनकि अघिल्लो फराकिलो मार्गले पछिल्लो साँघुरो मार्गलाई निष्फल बनाउँछ। क्लाइन्ट-देखि-क्लाइन्ट आन्तरिक अग्रेषण बन्द गर्दा सहकर्मी ट्राफिक ती नियम जाँचिने सीमामै रहन्छ। केवल कागजमा भएको नियम कार्यान्वयन होइन।

नकारात्मक अवस्थाहरू जाँच्नुहोस्

चार नयाँ जडान प्रयोग गर्नुहोस्: नामित अन्तबिन्दु, कुनै ओभरराइड नभएको एउटा, पहुँचयोग्य हुनुपर्ने सेवा र नहुनुपर्ने सेवा। सूचीमा नभएको अन्तबिन्दु महत्त्वपूर्ण अवस्था हो, किनकि डिजाइन त्यसैलाई रोक्नका लागि छ। यदि त्यो जोडियो भने पूर्वनिर्धारित ब्लकले आफ्नो काम गरिरहेको छैन।

IPv6 अलगै जाँच्नुहोस्, किनकि IPv4 ठेगाना नीतिले दोस्रो स्ट्याकबारे केही भन्दैन। त्यसपछि पुष्टि गर्नुहोस् कि अनुप्रयोगले अझै प्रयोगकर्तालाई अधिकृत गर्छ, किनकि सुरुङ ठेगाना नेटवर्कको तथ्य हो, किबोर्डमा को छ भन्ने प्रमाण होइन। दुवै जाँच स्वीकृति टिप्पणीमा पर्छन्।

अन्तमा, स्थानान्तरणको योजना बनाउनुहोस्। नयाँ ओभरराइड र साँघुरा नियमहरूले पहिले नै स्थापित सत्रहरू पछाडि फर्केर बदल्दैनन्, त्यसैले विद्यमान अवस्थाहरू सकिनुपर्छ वा जानाजान मेटाउनुपर्छ।