Statické adresy tunela v pfSense: preferencia alebo rezervácia?

Dva návrhy vyzerajú na papieri podobne a správajú sa veľmi odlišne, keď na nich závisí nejaké pravidlo. Jeden zadá adresu do prepísania klienta a verí adrese ako identite. Druhý úplne uzavrie dynamické prijímanie, takže koncový bod má buď jedinečné priradenie, alebo sa nepripojí. Len druhý mení adresu na podklad politiky, ktorý môžete obhájiť, a rozdiel stojí za pochopenie skôr, než napíšete jediné pravidlo firewallu.

Čo adresa prepísania skutočne sľubuje

Prepísanie špecifické pre klienta nesie možnosti pre jednotlivých klientov, vrátane preferovanej adresy tunela. Netgate opisuje túto adresu ako preferenciu, nie rezerváciu, čo znamená, že dynamický fond sa adresy pre nikoho iného nevzdáva.

Zvyčajne to stačí. Kolízia je zriedkavá a klient zvyčajne dostane, o čo požiadal, čo stačí pre pohodlie a nestačí pre autorizáciu. Pohodlie a autorizácia sú rozdielne požiadavky a kolíziu prežije len jedna z nich.

Pri topológii podsiete pole preberá adresu klienta spolu s maskou siete servera, takže adresa vnútri tunela 10.90.0.0/24 sa zapisuje ako 10.90.0.10/24.

Nič z toho číslo nerezervuje. Klient, ktorého prepísanie nezodpovedá, alebo duplicitná relácia môže skončiť inde vo fonde a pravidlo viazané na adresu potom opisuje niekoho, kto tam nie je.

Uzavrite dynamickú cestu obmedzenou predvolenou hodnotou

Alternatívou je výhradne statický server: každý prijatý koncový bod má vlastnú identitu a vlastnú jedinečnú adresu a nič iné sa dovnútra nedostane.

Implementácia znamená prepísanie DEFAULT obmedzené na tento jediný server so zapnutým blokovaním pripojení. Klient bez zodpovedajúceho prepísania potom nemôže spadnúť späť na bežné dynamické prijímanie. Práve tento jediný riadok mení preferenciu na uzavretú množinu.

Rozsah je dôležitý. Predvolené prepísanie použité na každú inštanciu VPN na zariadení uzamkne nesúvisiace tunely a táto porucha vyzerá ako pokazená služba, nie ako rozhodnutie politiky. Priraďte ho k jedinému serveru, ktorého model prijímania meníte. Potom rozsah poznamenajte do záznamu zmien, pretože ďalší človek si nebude pamätať, ku ktorému tunelu patrí.

Potom skontrolujte celú povolenú množinu. Predvolené blokovanie neopraví pomenované prepísanie ponechané bez adresy a tento koncový bod sa jednoducho nepripojí bez zjavného náznaku prečo.

Párujte identitu, ktorú server skutočne používa

Prepísanie na niečo odpovedá. Na serveri, ktorý páruje bežné názvy certifikátov, musí byť názov prepísania týmto bežným názvom, nie zobrazovaným menom osoby. Skopírujte ho z certifikátu, nie zo zoznamu účtov.

Server nakonfigurovaný tak, aby používal používateľské meno ako bežný názov, páruje úplne iný kľúč a prepísanie pomenované podľa certifikátu sa nikdy nespustí. Prečítajte si nastavenie, namiesto toho, aby ste ho odvodzovali z toho, čo ukazuje zoznam účtov.

Zachovajte dodatočné autentifikačné faktory, ktoré nasadenie vyžaduje. Uzavretý model adries mení, kto sa smie pripojiť a akú adresu dostane; nenahrádza kontrolu certifikátu ani druhý faktor.

Napíšte pravidlá prístupu, keď bude mapa v poriadku

Keď je mapa identity na adresu uzavretá, pravidlá môžu odkazovať na adresy bez predstierania, že ide o osoby. Alias zoskupujúci koncové body jednej osoby môže dosiahnuť konkrétnu službu, zatiaľ čo iný alias dosiahne niečo iné. Alias sa stáva revidovateľným objektom a adresa sa v ňom stáva implementačným detailom.

Udržujte ciele a porty explicitné. Povoliť celú miestnu sieť z celého fondu tunelov je presne ten návrh, ktorý malo toto cvičenie nahradiť.

Čítajte plávajúce, skupinové a rozhranové pravidlá v ich skutočnom poradí vyhodnocovania, pretože skorší široký priechod prebíja neskorší úzky. Vypnutie interného preposielania medzi klientmi udržiava prevádzku medzi peers na hranici, kde sa tieto pravidlá revidujú. Pravidlo, ktoré existuje len na papieri, nie je vynucovanie.

Otestujte negatívne prípady

Vyskúšajte štyri nové pripojenia: pomenovaný koncový bod, jeden úplne bez prepísania, službu, ktorá by mala byť dostupná, a jednu, ktorá by nemala. Nezaradený koncový bod je dôležitý prípad, pretože práve ten má návrh zastaviť. Ak sa pripojí, predvolené blokovanie nerobí svoju prácu.

Skontrolujte IPv6 samostatne, pretože politika adries IPv4 nič nehovorí o druhom zásobníku. Potom potvrďte, že aplikácia stále autorizuje používateľa, pretože adresa tunela je sieťový fakt, nie dôkaz o tom, kto sedí pri klávesnici. Obe kontroly patria do poznámky k prevzatiu.

Nakoniec naplánujte migráciu. Nové prepísania a úzke pravidlá nemenia spätne už nadviazané relácie, takže existujúce stavy musia vypršať alebo byť zámerne vymazané.