Dve skupini odjemalcev, en strežnik: kje uveljaviti politiko

Postavljanje dveh skupin odjemalcev v različne podsieťi je videti kot izolacija, pa ni. Naslovi opisujejo, od kod se zdi, da paket prihaja, medtem ko je dovoljenje odločitev tistega, ki ga posreduje. Na to vprašanje odgovarja konfiguracija, ne maska, zato se odločite, katera komponenta posreduje promet med paroma, preden napišete katero koli pravilo.

Podsieť je oznaka, ne pravilo

Dodelitev enega bazena na skupino vam da berljive naslove in nič drugega. Odjemalec, ki sprejme dodatno pot, je pridobil dosegljivost, dosegljivost pa ni pooblastilo. Dovoljenje za pogovor je v odločitvi o posredovanju, ki lahko živi v demonu ali v jedru, odvisno od tega, kako je strežnik konfiguriran.

Lastništvo naslova je tisto, kar naredi predpono uporabno kot izbirnik skupine. Vsaka overjena identiteta se mora ujemati s predvidljivim naslovom ali obsegom, in to preslikavanje odpove takoj, ko si več naprav deli eno poverilnico in eno dodelitev. Rešite identiteto in sočasnost, preden se zanesete na predpono vira, ker politika, ki ugiba, kateri stroj kliče, v najslabšem trenutku pooblasti napačnega.

Izberite pot, ki prenaša promet med paroma

Ko demon posreduje pakete parov znotraj svojega procesa, ti paketi nikoli ne dosežejo kaveljčka za posredovanje gostitelja, zato jih pravilo jedra ne more videti. Izklopite to notranje posredovanje in jedro postane točka posredovanja, kjer veljajo običajna pravila posredovanja.

# peer forwarding inside the daemon: enforce with per-group policy instead of FORWARD rules
client-to-client
# kernel forwarding path: remove the line above, then filter in the forward chain

Razbremenjeni podatkovni kanali in strežniki, ki jih upravlja izdelek, objavljajo svoje modele uveljavljanja, zato potrdite, katerega poganjate, namesto da bi predpostavljali vedenje skupnosti. Napaka, ki se ji je vredno izogniti, je pravilo, ki je videti pravilno pri pregledu in se med izvajanjem nikoli ne preveri.

Napišite matriko pred pravili

Kratka matrika je lažja za pregled kot nabor pravil in je pogodba, ki jo mora izvedba izpolniti: paroma iste skupine dovoljeno, paroma med skupinami prepovedano, obema skupinama dovoljeno do ene imenovane skupne storitve, vse ostalo prepovedano. Zapišite te štiri vrstice, preden odprete urejevalnik požarnega zidu. Pregledovalec, ki ne bere sintakse pravil, lahko matriko vseeno preveri. Izvedba se mora nato le ujemati z vrsticami.

Med pisanjem imejte tri razrede ciljev ločene. Storitev na gostitelju VPN je lokalni vhod, drug odjemalec je tranzit parov, stroj za prehodom pa je druga pot posredovanja. Eno radodarno pravilo lahko pomotoma dovoli vse tri, in tako skupinska politika postane plosko omrežje z dodatnimi koraki. Zapišite razred ob vsaki vrstici, da namera preživi naslednje urejanje.

Postavite pravila tja, kjer preživijo

Odločitve dodajte na isto mesto, kjer se vzdržuje preostanek požarnega zidu, pred vsakim dovoljevalnim pravilom, ki bi jih sicer pogoltnilo. Vrstni red pravil je del politike in pravilno pravilo za široko dovolitvijo ne uveljavi ničesar. Zabeležite številke pravil pred spremembo in po njej. Politika, ki obstaja v urejevalniku, ne pa v delujočem naboru pravil, je načrt, ne nadzor.

Odločite, kaj se zgodi z že obstoječimi tokovi, ko se politika spremeni, ker se seja, odprta pred spremembo, lahko nadaljuje po njej. Če mora odhajajoči član takoj izgubiti dostop, potrebuje nabor pravil način, da to stanje konča, namesto da čaka, da se povezava sama zapre.

Pravila naredite trajna z mehanizmom, ki ima v lasti preostanek požarnega zidu, in matriko zapišite ob njih. Nezabeležena politika se ob naslednjem incidentu znova izpelje iz spomina, običajno s strani nekoga, ki se mu mudi.

Dokažite to z obeh strani

Preizkusite dosegljivost znotraj iste skupine, neuspeh med skupinami in skupno storitev z enim odjemalcem v vsaki skupini. En sam preizkus z enega odjemalca dokaže polovico matrike, izpuščena polovica pa je običajno napačna. Ponovite smer prepovedi dvakrat, ker lahko predpomnjena seja skrije napako pri uveljavljanju. Zabeležite, kateri par ste preizkusili, da ga naslednja oseba ne ponovi.

Ponovite preverjanje na IPv6, če ga tunel prenaša, in ohranite običajno preverjanje pristnosti aplikacij. Predpona vira ni račun, zato prehod skozi omrežno politiko ne pomeni, da bi morala storitev zaupati klicatelju.