Statiske tunneladresser i pfSense: føretrekk eller reservering?

To design ser like ut på papiret og oppfører seg svært ulikt når ei regel er avhengig av dei. Den eine skriv inn ei adresse i ei klientoverstyring og stolar på adressa som identitet. Den andre stenger dynamisk opptak heilt, slik at eit endepunkt anten har ei unik tildeling eller ikkje koplar til. Berre den andre gjer ei adresse om til eit policygrunnlag du kan forsvare, og skilnaden er verdt å forstå før du skriv ein einaste brannmurregel.

Kva ei overstyringsadresse eigentleg lovar

Ei klientspesifikk overstyring ber alternativ per klient, mellom anna ei føretrekt tunneladresse. Netgate skildrar den adressa som ei føretrekk og ikkje ei reservering, noko som tyder at den dynamiske poolen ikkje gjev frå seg adressa for nokon annan.

Det er som regel greitt. Ein kollisjon er sjeldan, og klienten får normalt det han bad om, noko som er nok for komfort og ikkje nok for autorisasjon. Komfort og autorisasjon er ulike krav, og berre eitt av dei overlever ein kollisjon.

Med subnettopologi tek feltet klientadressa saman med nettmaska til tenaren, slik at ei adresse inne i ein 10.90.0.0/24-tunnel blir skriven som 10.90.0.10/24.

Ingenting av dette reserverer nummeret. Ein klient der overstyringa ikkje passar, eller ei dobbel økt, kan hamne ein annan stad i poolen, og ei regel som byggjer på adressa skildrar då nokon som ikkje er der.

Lukk den dynamiske vegen med ein avgrensa standard

Alternativet er ein berre statisk tenar: kvart tillate endepunkt har sin eigen identitet og si eiga unike adresse, og ingenting anna kjem inn.

Å innføre det tyder ei DEFAULT-overstyring avgrensa til den eine tenaren med blokkering av tilkoplingar slått på. Ein klient utan ei samsvarande overstyring kan då ikkje falle tilbake på vanleg dynamisk opptak. Nettopp den eine lina gjer ei føretrekk om til eit lukka sett.

Omfanget spelar ei rolle. Ei standardoverstyring som blir brukt på kvar VPN-instans på eininga, vil låse ute urelaterte tunnelar, og den feilen ser ut som ein øydelagd teneste snarare enn eit policyvedtak. Bind ho til den eine tenaren der du endrar opptaksmodellen. Skriv så ned omfanget i endringsloggen, fordi neste person kjem ikkje til å hugse kva tunnel ho høyrer til.

Gå så gjennom heile det tillate settet. Standardblokkeringa rettar ikkje ei namngjeven overstyring som er late att utan adresse, og det endepunktet vil rett og slett ikkje klare å kople til utan eit tydeleg hint om kvifor.

Match identiteten tenaren faktisk brukar

Ei overstyring matchar noko. På ein tenar som matchar fellesnamn i sertifikat, må namnet på overstyringa vere det fellesnamnet, ikkje visingsnamnet til personen. Kopier det frå sertifikatet i staden for frå kontolista.

Ein tenar som er sett opp til å bruke brukarnamnet som fellesnamn, matchar på ein heilt annan nøkkel, og ei overstyring som er kalla opp etter sertifikatet, vil aldri slå til. Les innstillinga i staden for å slutte deg til henne frå det kontolista viser.

Hald på dei ekstra autentiseringsfaktorane som utrullinga krev. Ein lukka adressemodell endrar kven som kan kople til og kva adresse dei får; han erstattar ikkje sertifikatkontrollen eller den andre faktoren.

Skriv tilgangsreglane når kartet er solid

Når kartet frå identitet til adresse er lukka, kan reglar vise til adresser utan å late som dei er personar. Eit alias som grupperer endepunkta til ein person, kan nå ein bestemd teneste medan eit anna alias når noko anna. Aliaset blir det gjennomgåelege objektet, og adressa blir ein implementasjonsdetalj inni det.

Hald mål og portar eksplisitte. Å tillate heile det lokale nettet frå heile tunnelpoolen er nettopp det designet denne øvinga skulle erstatte.

Les flytande, gruppe- og grensesnittreglar i den verkelege vurderingsrekkjefølgja deira, fordi ein tidlegare brei gjennomgang overgår ein seinare smal. Å slå av intern vidaresending frå klient til klient held jamlike-trafikk ved grensa der desse reglane blir gjennomgådde. Ein regel som berre finst på papiret, er ikkje handheving.

Test dei negative tilfella

Prøv fire nye tilkoplingar: eit namngjeve endepunkt, eitt heilt utan overstyring, ei teneste som burde vere nåbar og ei som ikkje burde vere det. Det ikkje oppførte endepunktet er det viktige tilfellet, fordi det er det designet finst for å stoppe. Viss det koplar til, gjer standardblokkeringa ikkje jobben sin.

Kontroller IPv6 separat, sidan ein IPv4-adressepolicy ikkje seier noko om ein andre stakk. Stadfest deretter at programmet framleis autoriserer brukaren, fordi ei tunneladresse er eit nettfaktum og ikkje prov på kven som sit ved tastaturet. Begge kontrollane høyrer i akseptnotatet.

Til slutt, planlegg migreringa. Nye overstyringar og smale reglar endrar ikkje allereie etablerte økter bakover, så eksisterande tilstandar må gå ut eller bli rydda med vilje.