په pfSense کې د تونل ثابت پتهونه: غوره توب که زیرمتون؟

دوه ډیزاینونه په کاغذ باندې ورته ښکاري او کله چې یو قاعده پرې تکیه وي، ډېر توپیر لري۔ یو یې په کاروونکي اوور رایډ کې پته لیکي او پته د هویت په توګه باوري بولي۔ بل یې ډینامیک مننه په بشپړه توګه بنده کوي، نو یو پای ټکی یا ځانګړې ګمارنه لري یا نه نښلي۔ یوازې دویم پته د پالیسۍ هغه ننوتۍ ته اړوي چې تاسو یې دفاع کولی شئ، او توپیر د یوې فایر وال قاعدې له لیکلو دمخه پوهېدلو ارزښت لري۔

د اوور رایډ پته په رښتیا څه ژمنه کوي

د کاروونکي ځانګړی اوور رایډ د هر کاروونکي لپاره اختیارونه لري، چې یو غوره شوی تونل پته هم پکې ده۔ Netgate هغه پته د زیرمتون پرځای غوره توب بولي، یعنې ډینامیک حوض هغه پته د بل چا لپاره نه پرېږدي۔

دا معمولاً سمه ده۔ ټکر لږ دی، او کاروونکی معمولاً هغه څه ترلاسه کوي چې غوښتي یې دي، دا د اسانتیا لپاره کافي دی او د اجازې لپاره کافي نه دی۔ اسانتیا او اجازه بېلې غوښتنې دي، او له ټکر څخه یوازې یوه ژوندۍ پاتې کېږي۔

په فرعي شبکې ټوپولوژي کې ساحه د کاروونکي پته د سرور شبکې ماسک سره یوځای اخلي، نو د 10.90.0.0/24 تونل دننه پته 10.90.0.10/24 لیکل کېږي۔

له دې څخه هیڅ شمېره نه زېرمه کوي۔ هغه کاروونکی چې اوور رایډ یې سم نه وي، یا دوه ځله سیشن، کولی شي د حوض بل ځای ته ورسېږي، او پته ته تړلې قاعده بیا هغه څوک بیانوي چې هلته نه دی۔

ډینامیک لاره په محدود ډیفالټ بنده کړئ

بدیل یوازې ثابت سرور دی: هر منل شوی پای ټکی خپل هویت او خپله ځانګړې پته لري، او بل څه نه ننوځي۔

د هغې پلي کول یو DEFAULT اوور رایډ دی چې یوازې همدغه سرور ته محدود وي او د اړیکو بندول فعال وي۔ بیا د سم اوور رایډ پرته کاروونکی عادي ډینامیک مننې ته نه شي راستنېدلی۔ همدا یوه کرښه غوره توب په بندې ټولګې بدلوي۔

حد او اندازه مهمه ده۔ په وسیله کې پر هر VPN نمونه باندې تطبیق شوی ډیفالټ اوور رایډ بې اړیکې تونلونه بندوي، او دا خرابي د پالیسۍ پریکړې پرځای د خراب خدمت په څېر ښکاري۔ دا هغه یو سرور ته وتړئ چې د مننې ماډل یې تاسو بدلوئ۔ بیا حد په بدلون ریکارډ کې ولیکئ، ځکه بل کس به هیر کړي چې دا کوم تونل پورې اړه لري۔

وروسته ټوله اجازه شوې ټولګه وګورئ۔ ډیفالټ بندول هغه نومول شوی اوور رایډ نه سموني چې بې پتې پاتې شوی، او هغه پای ټکی به پرته له څرګند اشارې ونه نښلي۔

د هغه هویت سره سمون وخورئ چې سرور یې رښتیا کاروي

اوور رایډ له یو څه سره سمون خوري۔ په هغه سرور چې د سندونو عام نومونه سره سمون خوري، د اوور رایډ نوم باید هماغه عام نوم وي، نه د کس ښکارېدونکی نوم۔ دا له سند څخه کاپي کړئ، نه له حسابونو لیست څخه۔

هغه سرور چې د کاروونکي نوم د عام نوم په توګه کارولو لپاره تنظیم شوی، په بشپړ توګه بل کیلي سره سمون خوري، او د سند په نوم نومول شوی اوور رایډ به هیڅکله فعال نه شي۔ تنظیم ولولئ، د حسابونو لیست څخه یې مه اټکل کوئ۔

هغه اضافي تصدیق عوامل وساتئ چې ځای پرځای کول یې غواړي۔ بند پته ماډل بدلوي چې څوک نښلېدلی شي او کومه پته اخلي؛ دا د سند تفتیش یا دویم عامل بدل نه کړي۔

د لاسرسي قواعدې وروسته له هغه ولیکئ چې نقشه سمه شي

کله چې د هویت او پتې نقشه بنده شي، قواعدې کولی شي پتو ته اشاره وکړي پرته له دې چې هغوی خلک وګڼي۔ یو لقب چې د یو کس پای ټکي ډلې کوي کولی شي ځانګړي خدمت ته ورسیږي، پداسې حال کې چې بل لقب بل څه ته رسېږي۔ لقب د کتنې وړ شی کیږي، او پته د هغه دننه د پلي کولو تفصیل کیږي۔

منزلونه او پورټونه څرګند وساتئ۔ له ټول تونل حوض څخه ټولې سیمه ییزې شبکې ته اجازه ورکول هماغه ډیزاین دی چې دا تمرین باید بدل کړی وی۔

د الوتونکو، ډلې او انټرفیس قواعدې د هغوی په ریښتیني ارزونې ترتیب ولولئ، ځکه پخوانی پراخ تېریدل وروستی تنګ تېریدل بې اغېزې کوي۔ د کاروونکو ترمنځ داخلي لیږد بندول د همزولو ترافیک په هغه پوله ساتي چې دا قواعدې کتل کیږي۔ یوازې په کاغذ باندې موجوده قاعده تطبیق نه دی۔

منفي حالتونه وآزمویئ

څلور نوي اړیکې وآزمویئ: یو نومول شوی پای ټکی، یو پرته له هر اوور رایډ، یو خدمت چې باید د لاسرسي وړ وي او یو چې باید نه وي۔ په لیست کې نه راغلی پای ټکی مهم حالت دی، ځکه ډیزاین هماغه د بندولو لپاره دی۔ که ونښلي، ډیفالټ بندول خپله دنده نه ترسره کوي۔

IPv6 جدا وګورئ، ځکه د IPv4 پتې پالیسي د دویم سټیک په اړه هیڅ نه وایي۔ بیا تایید کړئ چې اپلیکیشن لا هم کاروونکی اجازه لري، ځکه د تونل پته د شبکې حقیقت دی، نه د دې ثبوت چې څوک پر کیبورډ دی۔ دواړه کتنې د منلو یادښت پورې اړه لري۔

په پای کې، د لېږد پلان جوړ کړئ۔ نوي اوور رایډونه او تنګ قواعدې دمخه جوړ شوي سیشنونه بیرته نه بدلوي، نو موجود حالتونه باید پای ته ورسیږي یا په قصد پاک شي۔