Odjemalci VPN in omrežje LAN: kdaj uporabiti ločeno območje

Postavitev vmesnika tunela v območje LAN je najkrajša pot do delujočega VPN in običajno napačna privzeta nastavitev. Oddaljenemu odjemalcu daje enako zaupanje kot ožičeno omrežje LAN, kar naloga le redko zahteva. Ločeno območje stane nekaj pravil in naredi mejo vidno. Odločitev ni, ali so območja boljša; temveč kateri trije pogoji veljajo za vaše omrežje.

Ime območja ničesar ne šifrira in ne preverja uporabnika. Le združuje vmesnike za model pravil požarnega zidu.

Kaj članstvo v območju zares nadzoruje

Območje združuje vmesnike ali promet v modelu požarnega zidu. Nato njegove nastavitve vhoda, izhoda in posredovanja upravljajo različne vloge. Vhod je promet do samega usmerjevalnika; posredovanje je promet skozenj do drugega gostitelja. Dokumentacija OpenWrt o območjih prav zato obravnava vhod, izhod in posredovanje kot ločene nastavitve.

Dovoljenje iz območja VPN v območje LAN ni samodejno obratno dovoljenje. Pravila posredovanja so usmerjena in pravilo, ki dovoljuje promet od odjemalca do strežnika, ne dovoljuje sej od strežnika do odjemalca. Odjemalec, ki lahko odpre povezavo do strežnika, ni odjemalec, do katerega bi strežnik lahko odprl povratno povezavo.

Ta razlika je razlog, da je ločeno območje koristno: lahko izrecno navedete vsako smer in vsako vlogo. Smer zapišite ob vsakem pravilu.

Prva odločitev: vhod, posredovanje ali oboje

Če oddaljeni odjemalci potrebujejo DNS od usmerjevalnika, dovolite vhod samo za to storitev. Če morajo doseči strežnik datotek, dovolite posredovanje do tega cilja. Večina zasnov VPN potrebuje oboje, a za različne storitve.

Širok dostop prek vhoda do vseh lokalnih storitev skoraj nikoli ni potreben. Upravljanje usmerjevalnika obravnavajte kot ločeno odločitev od dostopa do aplikacij. Če mora usmerjevalnik le odgovarjati na DNS, zapišite to edino dovoljenje, ostalo pa pustite zaprto.

Druga odločitev: katere vire oddaljeni odjemalci potrebujejo

Pred pisanjem pravil naštejte obsege odjemalcev, cilje in storitve, ki naj jih VPN zagotavlja. Seznam ciljev je bolj uporaben od oznake zaupanja, ker preživi selitev požarnega zidu.

Upravljalne vmesnike imejte ločene od običajnega dostopa do aplikacij. Oddaljeni odjemalec, ki doseže wiki, zato ne potrebuje skrbniške strani usmerjevalnika ali konzole hipervizorja.

Če dovoljeni cilj lahko posreduje naprej, se meja območja ustavi pri požarnem zidu, ne pri tem, kar cilj počne naprej.

Tretja odločitev: kako boste dokazali mejo

Po vsaki spremembi preizkusite dovoljen tok in en namerno zavrnjen. Dokaz, da se ena stran naloži, ne razkrije nenamernega širokega dovoljenja. Preizkušajte iz obsega naslovov odjemalca VPN, ne iz omrežja LAN, in vključite smer, v kateri pričakujete neuspeh. Oba rezultata zapišite ob pravilo.

Pred spremembo politike oddaljenega območja ohranite dostop za obnovitev prehoda. Uporabljajte trajno upravljano konfiguracijo namesto sprememb med izvajanjem, sicer bo naslednji zagon obnovil staro zaupanje. Kopija prejšnje konfiguracije, shranjena zunaj naprave, je najcenejša vrnitev, ki jo boste kdaj imeli.

Ko omrežje raste, dokumentirajte članstvo in namen pravil. Na novo priključen vmesnik ne bi smel podedovati pravic samo zato, ker mu je nekdo dal priročno ime območja.