Statični naslovi tunela v pfSense: prednost ali rezervacija?

Dve zasnovi sta na papirju videti podobni in se obnašata povsem drugače, ko je pravilo odvisno od njiju. Ena vnese naslov v preglašitev odjemalca in naslovu zaupa kot identiteti. Druga povsem zapre dinamični sprejem, tako da ima končna točka edinstveno dodelitev ali pa se ne poveže. Samo druga spremeni naslov v vložek politike, ki ga lahko branite, in razliko je vredno razumeti, preden napišete eno samo pravilo požarnega zidu.

Kaj naslov preglasitve v resnici obljublja

Preglasitev, specifična za odjemalca, nosi možnosti za vsakega odjemalca, vključno s prednostnim naslovom tunela. Netgate ta naslov opisuje kot prednost in ne kot rezervacijo, kar pomeni, da se dinamični sklop ne odreče naslovu v korist koga drugega.

To je običajno v redu. Trčenje je redko, odjemalec pa običajno prejme, kar je zahteval, kar zadostuje za udobje in ne zadostuje za avtorizacijo. Udobje in avtorizacija sta različni zahtevi in le ena od njiju preživi trčenje.

Pri topologiji podomrežja polje prevzame naslov odjemalca skupaj z masko strežnikovega omrežja, zato se naslov znotraj tunela 10.90.0.0/24 zapiše kot 10.90.0.10/24.

Nič od tega ne rezervira številke. Odjemalec, katerega preglasitev se ne ujema, ali podvojena seja lahko konča drugje v sklopu, pravilo, ki temelji na naslovu, pa takrat opisuje nekoga, ki ga tam ni.

Zaprite dinamično pot z omejeno privzeto vrednostjo

Alternativa je samo statični strežnik: vsaka sprejeta končna točka ima svojo identiteto in svoj edinstven naslov, nič drugega pa ne vstopi.

Izvajanje pomeni preglasitev DEFAULT, omejeno na ta en strežnik z omogočenim blokiranjem povezav. Odjemalec brez ustrezne preglasitve se takrat ne more vrniti na običajni dinamični sprejem. Prav ta vrstica spremeni prednost v zaprt nabor.

Obseg je pomemben. Privzeta preglasitev, uporabljena za vsak primerek VPN v napravi, bo zaklenila nepovezane tunele in ta okvara je videti kot pokvarjena storitev, ne kot odločitev politike. Vežite jo na tisti en strežnik, katerega model sprejema spreminjate. Nato zapišite obseg v dnevnik sprememb, ker se naslednja oseba ne bo spomnila, kateremu tunelu pripada.

Nato revidirajte celoten dovoljeni nabor. Privzeto blokiranje ne popravi imenovane preglasitve, ki je ostala brez naslova, in ta končna točka se preprosto ne bo povezala brez očitnega namiga, zakaj.

Ujemajte se z identiteto, ki jo strežnik res uporablja

Preglasitev se ujema z nečim. Na strežniku, ki ujema skupna imena potrdil, mora biti ime preglasitve to skupno ime, ne prikazano ime osebe. Kopirajte ga iz potrdila, ne s seznama računov.

Strežnik, nastavljen za uporabo uporabniškega imena kot skupnega imena, ujema povsem drug ključ, in preglasitev, imenovana po potrdilu, se ne bo nikoli sprožila. Preberite nastavitev, namesto da bi jo sklepali iz tega, kar prikazuje seznam računov.

Ohranite dodatne dejavnike preverjanja pristnosti, ki jih zahteva uvedba. Zaprt model naslovov spremeni, kdo se lahko poveže in kateri naslov prejme; ne nadomešča preverjanja potrdila ali drugega dejavnika.

Napišite pravila dostopa, ko bo zemljevid trden

Ko je zemljevid od identitete do naslova zaprt, se lahko pravila sklicujejo na naslove, ne da bi se pretvarjala, da so ljudje. Vzdevek, ki združuje končne točke ene osebe, lahko doseže določeno storitev, medtem ko drug vzdevek doseže nekaj drugega. Vzdevek postane pregledljiv predmet, naslov pa postane podrobnost izvedbe znotraj njega.

Naj bodo cilji in vrata izrecni. Dovoliti celotno lokalno omrežje iz celotnega sklopa tunelov je natanko zasnova, ki naj bi jo ta vaja nadomestila.

Berite plavajoča, skupinska in vmesniška pravila v njihovem resničnem vrstnem redu vrednotenja, ker prejšnji širok prehod izniči poznejši ozek. Izklop notranjega posredovanja med odjemalci ohranja promet med enakovrednimi partnerji na meji, kjer se ta pravila pregledujejo. Pravilo, ki obstaja le na papirju, ni izvajanje.

Preizkusite negativne primere

Preizkusite štiri nove povezave: imenovano končno točko, eno brez kakršne koli preglasitve, storitev, ki bi morala biti dosegljiva, in eno, ki ne bi smela biti. Neuvrščena končna točka je pomemben primer, ker je prav ona tista, ki jo zasnova obstaja ustaviti. Če se poveže, privzeto blokiranje ne opravlja svojega dela.

IPv6 preverite ločeno, ker politika naslovov IPv4 ne pove ničesar o drugem skladu. Nato potrdite, da aplikacija še vedno avtorizira uporabnika, ker je naslov tunela omrežno dejstvo in ne dokaz, kdo je za tipkovnico. Oba preverjanja spadata v zapisnik o prevzemu.

Nazadnje načrtujte selitev. Nove preglasitve in ozka pravila ne spremenijo že vzpostavljenih sej za nazaj, zato morajo obstoječa stanja poteči ali biti namerno izbrisana.