Adresat statike të tunelit në pfSense: preferencë apo rezervim?

Dy modele duken njësoj në letër dhe sillen shumë ndryshe kur një rregull varet prej tyre. Njëri shkruan një adresë në një anulim klienti dhe i beson adresës si identitet. Tjetri mbyll plotësisht pranimin dinamik, kështu që një pikë fundore ose ka një caktim unik ose nuk lidhet. Vetëm i dyti e kthen një adresë në një të dhënë politike që mund ta mbrosh, dhe ndryshimi ia vlen të kuptohet përpara se të shkruash qoftë edhe një rregull të vetëm muri zjarri.

Çfarë premton vërtet një adresë anulimi

Një anulim specifik për klientin mban opsione për çdo klient, përfshirë një adresë tuneli të preferuar. Netgate e përshkruan atë adresë si preferencë dhe jo si rezervim, që do të thotë se grupi dinamik nuk e lëshon adresën për askënd tjetër.

Kjo zakonisht është në rregull. Përplasja është e rrallë, dhe klienti zakonisht merr atë që kërkoi, gjë që mjafton për komoditetin dhe nuk mjafton për autorizimin. Komoditeti dhe autorizimi janë kërkesa të ndryshme, dhe vetëm njëra prej tyre i mbijeton një përplasjeje.

Me topologji nënrrjeti, fusha merr adresën e klientit së bashku me maskën e rrjetit të serverit, kështu që një adresë brenda një tuneli 10.90.0.0/24 shkruhet si 10.90.0.10/24.

Asgjë nga kjo nuk e rezervon numrin. Një klient anulimi i të cilit nuk përputhet, ose një sesion i dyfishuar, mund të përfundojë diku tjetër në grup, dhe një rregull i bazuar në adresë përshkruan atëherë dikë që nuk është atje.

Mbyllni rrugën dinamike me një parazgjedhje të kufizuar

Alternativa është një server vetëm statik: çdo pikë fundore e pranuar ka identitetin e vet dhe adresën e vet unike, dhe asgjë tjetër nuk hyn.

Zbatimi i tij kërkon një anulim DEFAULT të kufizuar vetëm në atë server të vetëm me bllokimin e lidhjeve të aktivizuar. Një klient pa anulim përputhës nuk mund të kthehet atëherë në pranimin dinamik të zakonshëm. Pikërisht ai rresht i vetëm e kthen një preferencë në një grup të mbyllur.

Shtrirja ka rëndësi. Një anulim parazgjedhës i aplikuar për çdo instancë VPN në pajisje do të bllokojë tunele të palidhura, dhe ai dështim duket si shërbim i prishur dhe jo si vendim politike. Lidheni me serverin e vetëm, modelin e pranimit të të cilit po ndryshoni. Më pas shënoni shtrirjen në regjistrin e ndryshimeve, sepse personi tjetër nuk do të mbajë mend se cilit tunel i përket.

Më pas auditoni të gjithë grupin e lejuar. Bllokimi parazgjedhës nuk rregullon një anulim të emërtuar që u la pa adresë, dhe ajo pikë fundore thjesht do të dështojë të lidhet pa një të dhënë të qartë se përse.

Përputhuni me identitetin që serveri përdor vërtet

Një anulim përputhet me diçka. Në një server që përputh emrat e përbashkët të certifikatave, emri i anulimit duhet të jetë ai emër i përbashkët, jo emri i shfaqur i personit. Kopjoni atë nga certifikata dhe jo nga lista e llogarive.

Një server i konfiguruar të përdorë emrin e përdoruesit si emër të përbashkët përputhet me një çelës krejt të ndryshëm, dhe një anulim i emërtuar sipas certifikatës nuk do të aktivizohet kurrë. Lexoni cilësimin në vend që ta nxirrni nga ajo që tregon lista e llogarive.

Ruani faktorët shtesë të vërtetimit që kërkon vendosja. Një model i mbyllur adresash ndryshon kush mund të lidhet dhe cilën adresë merr; ai nuk zëvendëson kontrollin e certifikatës ose faktorin e dytë.

Shkruani rregullat e aksesit pasi harta të jetë e shëndoshë

Pasi harta nga identiteti në adresë të jetë mbyllur, rregullat mund t'u referohen adresave pa u shtirur se janë njerëz. Një pseudonim që grupon pikat fundore të një personi mund të arrijë një shërbim të caktuar, ndërsa një pseudonim tjetër arrin diçka tjetër. Pseudonimi bëhet objekti i rishikueshëm, dhe adresa bëhet një detaj zbatimi brenda tij.

Mbani destinacionet dhe portat të qarta. Lejimi i të gjithë rrjetit lokal nga i gjithë grupi i tuneleve është pikërisht modeli që ky ushtrim duhej të zëvendësonte.

Lexoni rregullat lundruese, të grupit dhe të ndërfaqes në rendin e tyre të vërtetë të vlerësimit, sepse një kalim i gjerë i hershëm mund një të ngushtë të mëvonshëm. Fikja e përcjelljes së brendshme mes klientëve e mban trafikun mes palëve në kufirin ku ato rregulla rishikohen. Një rregull që ekziston vetëm në letër nuk është zbatim.

Provoni rastet negative

Provoni katër lidhje të reja: një pikë fundore të emërtuar, një pa asnjë anulim, një shërbim që duhet të jetë i arritshëm dhe një që nuk duhet. Pika fundore që nuk është në listë është rasti i rëndësishëm, sepse modeli ekziston për ta ndaluar atë. Nëse lidhet, bllokimi parazgjedhës nuk po bën punën e vet.

Kontrolloni IPv6 veçmas, sepse një politikë adresash IPv4 nuk thotë asgjë për një stivë të dytë. Më pas konfirmoni që aplikacioni vazhdon të autorizojë përdoruesin, sepse një adresë tuneli është fakt rrjeti dhe jo provë se kush është në tastierë. Të dy kontrollet i përkasin shënimit të pranimit.

Së fundi, planifikoni migrimin. Anulimet e reja dhe rregullat e ngushta nuk i ndryshojnë në mënyrë të kthyeshme sesionet e krijuara tashmë, prandaj gjendjet ekzistuese duhet të skadojnë ose të pastrohen qëllimisht.