دوه کلینټ ګروپونه، یو سرور: پالیسي چېرې پلي کړو
سبنیټونه ګروپونو ته نښه ورکوي؛ هغوی نه جلا کوي. پرېکړه وکړئ چې کوم د لېږد لار د قاعده مالک ده، بیا هغه میټریکس ولیکئ چې تطبیق یې باید پلي کړي.
دوه کلینټ ګروپونه په بېلابېلو سبنیټونو کې اېښودل د جلا کېدو په څېر ښکاري، او نه دي. پتې بیانوي چې پاکټ ښکاري له کومه ځایه راځي، خو اجازه هغه پرېکړه ده چې لېږدونکی یې کوي. دې پوښتنې ته ماسک نه، بلکې ترتیب ځواب وایي، نو د کومې قاعدې له لیکلو دمخه پرېکړه وکړئ چې کوم برخه د سیالانو ترافیک لېږدوي.
سبنیټ یوه نښه ده، نه قاعده
هر ګروپ ته یو زېرمه ورکول تاسو ته لوستل کېدونکې پتې درکوي او نور هیڅ نه. هغه کلینټ چې اضافي لار ومني رسېدنه یې ترلاسه کړې، او رسېدنه اجازه نه ده. د خبرو اجازه د لېږد پرېکړه کې ده، چې کېدای شي د سرور د ترتیب له مخې په ډیمون یا کرنل کې وي.
د پتې مالکیت هغه څه دي چې مخکښه د ګروپ ټاکونکي په توګه کارېدونکی کوي. هر تصدیق شوی هویت باید د وړاندوینې وړ پتې یا حد سره سمون ولري، او هغه سمون هغه ساه ماتېږي چې څو وسیلې یو اعتبار او یوه تخصیص شریک کړي. د سرچینې مخکښه باندې د تکیه کولو دمخه هویت او هممهالوالی حل کړئ، ځکه هغه پالیسي چې اټکل کوي کومه ماشین زنګ وهی په بدترین وخت کې غلط ته اجازه ورکوي.
هغه لار وټاکئ چې د سیالانو ترافیک وړي
کله چې ډیمون د سیالانو پاکټونه په خپل بهیر کې لېږدوي، هغه پاکټونه هېڅکله د کوربه د لېږد هنګ ته نه رسېږي، نو د کرنل قاعده نشي لیدلی. هغه داخلي لېږد بند کړئ، کرنل د لېږد ټکی کېږي، چېرې چې عادي د لېږد قواعد پلي کېږي.
# peer forwarding inside the daemon: enforce with per-group policy instead of FORWARD rules
client-to-client
# kernel forwarding path: remove the line above, then filter in the forward chainد ډیټا کانالونه او د محصول لخوا مدیریت شوي سرورونه خپل د پلي کولو ماډلونه خپروي، نو تایید کړئ چې کوم یې چلوئ پرځای د دې چې د ټولنې چلند فرض کړئ. د هغې نیمګړتیا څخه چې باید مخنیوی یې وشي هغه قاعده ده چې په بیاکتنه کې سمه ښکاري او په اجرا وخت کې هېڅکله نه پوښل کېږي.
د قواعدو له لیکلو دمخه میټریکس ولیکئ
لنډ میټریکس د قواعدو له ټولګې څخه اسانه بیاکتنه کېږي، او هغه تړون دی چې تطبیق یې باید پوره کړي: د یو ګروپ سیالان اجازه لري، د ګروپونو ترمنځ سیالان منع دي، دواړه ګروپونه یو نومول شوي شریک خدمت ته اجازه لري، نور هر څه منع دي. دا څلور کرښې د اورپټې سمونکي له پرانیستلو دمخه ولیکئ. هغه بیاکتونکی چې د قواعدو نحو نه لولي بیا هم کولای شي میټریکس وګوري. بیا تطبیق یوازې کرښو ته سمون ورکړي.
| Source | Destination | Decision |
|---|---|---|
| Group A address | Another Group A address | Allow |
| Group A address | A Group B address | Deny |
| Either group | The shared internal service | Allow |
| Either group | Anything not listed | Deny |
لیکلو پر مهال درې منزلې طبقې بېلې وساتئ. په VPN کوربه کې خدمت سیمه ییز ننوتل دی، بل کلینټ د سیالانو تګ راتګ دی، او د دروازې شاته ماشین بل د لېږد لار ده. یوه سخاوتمنده قاعده کېدای شي درې واړه ناڅاپه ورکړي، او همدارنګه ګروپي پالیسي په اضافي ګامونو سره هواره شبکه کېږي. د هرې کرښې ترڅنګ طبقه ولیکئ ترڅو نیت بل سمون ته هم پاتې شي.
قواعد هلته کېږدئ چې ژوندی پاتې شي
پرېکړې په هماغه ځای کې اضافه کړئ چېرې چې د اورپټې نوره برخه ساتل کېږي، د هرې اجازه ورکوونکې قاعدې دمخه چې که نه وي هغوی تېروي. د قواعدو ترتیب د پالیسي برخه ده، او د پراخې اجازې وروسته اېښودل شوې سمه قاعده هېڅ نه پلي کوي. د بدلون دمخه او وروسته د قواعدو شمېرې یادې کړئ. هغه پالیسي چې په سمونکي کې ده خو په روان قواعدو ټولګه کې نه ده، پلان دی نه کنټرول.
پرېکړه وکړئ چې کله پالیسي بدلېږي هغو بهیرونو ته څه پېښېږي چې لا دمخه شته، ځکه هغه ناسته چې د بدلون دمخه پرانیستل شوې کېدای شي وروسته هم دوام وکړي. که وتونکی غړی باید سمدلاسه لاسرسی له لاسه ورکړي، د قواعدو ټولګې ته اړتیا ده چې هغه حالت پای ته ورسوي پرځای د دې چې انتظار وکړي اړیکه پخپله وتړل شي.
قواعد هغه میکانیزم له لارې تلپاتې کړئ چې د اورپټې نوره برخه یې مالک دی، او میټریکس ترڅنګ یې ثبت کړئ. ناثبته پالیسي په راتلونکې پېښه کې بیا له یادې راوځي، معمولاً د یو چټک کس لخوا.
له دواړو خواوو یې ثابت کړئ
له هر ګروپ یو کلینټ څخه د هماغه ګروپ رسېدنه، د ګروپونو ترمنځ ناکامي او شریک خدمت ازموئ. یوه ازموینه له یو کلینټ څخه د میټریکس نیمایي ثابتوي، او هغه نیمایي چې پرېښودل کېږي معمولاً غلطه ده. د منع لوري دوه ځله تکرار کړئ، ځکه کیش شوې ناسته کېدای شي د پلي کولو تېروتنه پټه کړي. یاد یې کړئ چې کومه جوړه مو ازموېلې ترڅو بل کس یې تکرار نه کړي.
که تونل IPv6 وړي، ازموینه پرې تکرار کړئ، او نورمال د اپلیکیشن تصدیق وساتئ. د سرچینې مخکښه حساب نه دی، نو د شبکې پالیسي تېرول د دې معنا نه ده چې خدمت باید زنګ وهونکي ته باور وکړي.