Klienti VPN a sieť LAN: kedy použiť samostatnú zónu

Umiestnenie rozhrania tunela do zóny LAN je najkratšia cesta k fungujúcemu VPN a zvyčajne je to nesprávne predvolené nastavenie. Priznáva vzdialenému klientovi rovnakú dôveru ako káblová sieť LAN, čo úloha málokedy vyžaduje. Samostatná zóna stojí niekoľko pravidiel a robí hranicu viditeľnou. Rozhodnutie nie je, či sú zóny lepšie; ide o to, ktoré tri podmienky platia pre vašu sieť.

Názov zóny nič nešifruje a žiadneho používateľa neoveruje. Iba zoskupuje rozhrania pre model pravidiel firewallu.

Čo členstvo v zóne skutočne riadi

Zóna zoskupuje rozhrania alebo prevádzku v modeli firewallu. Jej nastavenia vstupu, výstupu a preposielania potom riadia rôzne roly. Vstup je prevádzka k samotnému routeru; preposielanie je prevádzka cez neho k inému hostiteľovi. Dokumentácia OpenWrt k zónam práve preto považuje vstup, výstup a preposielanie za samostatné nastavenia.

Povolenie zo zóny VPN do zóny LAN nie je automaticky opačným povolením. Pravidlá preposielania majú smer a pravidlo, ktoré povoľuje prevádzku od klienta k serveru, nepovoľuje relácie od servera ku klientovi. Klient, ktorý môže otvoriť spojenie k serveru, nie je klientom, ku ktorému by server mohol otvoriť spätné spojenie.

Práve tento rozdiel je dôvodom, prečo je samostatná zóna užitočná: môžete výslovne uviesť každý smer a každú rolu. Smer píšte vedľa každého pravidla.

Rozhodnutie prvé: vstup, preposielanie alebo oboje

Ak vzdialení klienti potrebujú DNS od routera, povoľte vstup len pre túto službu. Ak potrebujú dosiahnuť súborový server, povoľte preposielanie na tento cieľ. Väčšina návrhov VPN potrebuje oboje, ale pre rôzne služby.

Široký vstupný prístup ku každému miestnemu serveru takmer nikdy nie je potrebný. Berte správu routera ako samostatné rozhodnutie od prístupu k aplikáciám. Ak router potrebuje len odpovedať na DNS, napíšte to jediné povolenie a zvyšok nechajte zatvorený.

Rozhodnutie druhé: ktoré zdroje vzdialení klienti potrebujú

Pred písaním pravidiel vypíšte rozsahy klientov, ciele a služby, ktoré má VPN poskytovať. Zoznam cieľov je užitočnejší ako štítok dôvery, pretože prežije migráciu firewallu.

Držte správne rozhrania oddelene od bežného prístupu k aplikáciám. Vzdialený klient, ktorý dosiahne wiki, tým nepotrebuje administrátorskú stránku routera ani konzolu hypervizora.

Ak povolený cieľ môže ďalej preposielať, hranica zóny sa končí pri firewalle, nie pri tom, čo cieľ robí ďalej.

Rozhodnutie tretie: ako hranicu preukážete

Po každej zmene otestujte povolený tok a jeden zámerne zamietnutý. Dôkaz, že sa jedna stránka načíta, neodhalí neúmyselné široké povolenie. Testujte z rozsahu adries klienta VPN, nie z LAN, a zahrňte smer, pri ktorom očakávate zlyhanie. Zapíšte oba výsledky vedľa pravidla.

Pred zmenou politiky vzdialenej zóny zachovajte prístup na obnovenie brány. Používajte trvalú spravovanú konfiguráciu namiesto úprav za behu, inak ďalší reštart obnoví starú dôveru. Kópia predchádzajúcej konfigurácie uložená mimo zariadenia je najlacnejší návrat, aký kedy budete mať.

Keď sieť rastie, dokumentujte členstvo a účel pravidiel. Novo pripojené rozhranie by nemalo dediť oprávnenia len preto, že mu niekto dal pohodlný názov zóny.