Statyczne adresy tunelu w pfSense: preferencja czy rezerwacja?

Dwa projekty wyglądają podobnie na papierze i zachowują się zupełnie inaczej, gdy jakaś reguła od nich zależy. Jeden wpisuje adres w nadpisanie klienta i ufa adresowi jako tożsamości. Drugi całkowicie zamyka dynamiczne dopuszczanie, więc punkt końcowy albo ma unikalne przypisanie, albo się nie łączy. Tylko drugi zamienia adres w dane polityki, których można bronić, a różnica warta jest zrozumienia, zanim napiszesz choć jedną regułę zapory.

Co właściwie obiecuje adres nadpisania

Nadpisanie specyficzne dla klienta zawiera opcje dla klienta, w tym preferowany adres tunelu. Netgate opisuje ten adres jako preferencję, a nie rezerwację, co oznacza, że pula dynamiczna nie oddaje adresu nikomu innemu.

To zwykle wystarcza. Kolizja jest rzadka, a klient zwykle otrzymuje to, o co prosił, co wystarcza dla wygody i nie wystarcza dla autoryzacji. Wygoda i autoryzacja to różne wymagania, a tylko jedno z nich przetrwa kolizję.

W topologii podsieci pole przyjmuje adres klienta wraz z maską sieci serwera, więc adres wewnątrz tunelu 10.90.0.0/24 zapisuje się jako 10.90.0.10/24.

Nic z tego nie rezerwuje numeru. Klient, którego nadpisanie nie pasuje, albo zduplikowana sesja może trafić gdzie indziej w puli, a reguła oparta na adresie opisuje wtedy kogoś, kogo tam nie ma.

Zamknij ścieżkę dynamiczną ograniczonym domyślnym wpisem

Alternatywą jest serwer wyłącznie statyczny: każdy dopuszczony punkt końcowy ma własną tożsamość i własny unikalny adres, a nic innego nie wchodzi.

Wdrożenie oznacza nadpisanie DEFAULT ograniczone do tego jednego serwera z włączonym blokowaniem połączeń. Klient bez pasującego nadpisania nie może wtedy wrócić do zwykłego dynamicznego dopuszczania. Właśnie ta jedna linia zamienia preferencję w zbiór zamknięty.

Zakres ma znaczenie. Domyślne nadpisanie zastosowane do każdej instancji VPN na urządzeniu zablokuje niepowiązane tunele, a ta awaria wygląda jak zepsuta usługa, a nie decyzja polityki. Przypisz je do jednego serwera, którego model dopuszczania zmieniasz. Następnie zapisz zakres w dzienniku zmian, ponieważ następna osoba nie będzie pamiętać, do którego tunelu należy.

Sprawdź potem cały dozwolony zbiór. Domyślna blokada nie naprawi nazwanego nadpisania pozostawionego bez adresu, a ten punkt końcowy po prostu nie połączy się bez oczywistej wskazówki dlaczego.

Dopasuj tożsamość, której serwer naprawdę używa

Nadpisanie do czegoś pasuje. Na serwerze, który dopasowuje nazwy pospolite certyfikatów, nazwa nadpisania musi być tą nazwą pospolitą, a nie nazwą wyświetlaną osoby. Skopiuj ją z certyfikatu, a nie z listy kont.

Serwer skonfigurowany do używania nazwy użytkownika jako nazwy pospolitej dopasowuje zupełnie inny klucz, a nadpisanie nazwane od certyfikatu nigdy się nie uruchomi. Przeczytaj ustawienie, zamiast wnioskować je z tego, co pokazuje lista kont.

Zachowaj dodatkowe czynniki uwierzytelniania wymagane przez wdrożenie. Zamknięty model adresowania zmienia, kto może się połączyć i jaki adres otrzyma; nie zastępuje sprawdzania certyfikatu ani drugiego czynnika.

Napisz reguły dostępu, gdy mapa jest poprawna

Gdy mapa tożsamości na adres jest zamknięta, reguły mogą odwoływać się do adresów bez udawania, że to osoby. Alias grupujący punkty końcowe jednej osoby może osiągnąć konkretną usługę, podczas gdy inny alias osiąga coś innego. Alias staje się obiektem do przeglądu, a adres staje się szczegółem implementacji wewnątrz niego.

Utrzymuj jawne miejsca docelowe i porty. Zezwolenie całej sieci lokalnej z całej puli tuneli to dokładnie ten projekt, który to ćwiczenie miało zastąpić.

Czytaj reguły pływające, grupowe i interfejsowe w ich rzeczywistej kolejności oceny, ponieważ wcześniejsze szerokie przejście unieważnia późniejsze wąskie. Wyłączenie wewnętrznego przekazywania między klientami utrzymuje ruch równorzędny na granicy, na której te reguły są przeglądane. Reguła, która istnieje tylko na papierze, nie jest egzekwowaniem.

Przetestuj przypadki negatywne

Wypróbuj cztery nowe połączenia: nazwany punkt końcowy, taki bez żadnego nadpisania, usługę, która powinna być osiągalna, i taką, która nie powinna. Nieujęty punkt końcowy jest przypadkiem najważniejszym, bo to jego projekt ma zatrzymać. Jeśli się połączy, domyślna blokada nie spełnia swojego zadania.

Sprawdź IPv6 osobno, ponieważ polityka adresów IPv4 nic nie mówi o drugim stosie. Następnie potwierdź, że aplikacja nadal autoryzuje użytkownika, bo adres tunelu jest faktem sieciowym, a nie dowodem, kto siedzi przy klawiaturze. Oba sprawdzenia należą do notatki odbiorczej.

Na koniec zaplanuj migrację. Nowe nadpisania i wąskie reguły nie zmieniają wstecznie już ustanowionych sesji, więc istniejące stany muszą wygasnąć lub zostać celowo wyczyszczone.