Dy grupe klientësh, një server: ku zbatohet politika

Vendosja e dy grupeve klientësh në nënrrjeta të ndryshme duket si izolim, dhe nuk është. Adresat përshkruajnë nga vjen në dukje një paketë, ndërsa leja është një vendim që merr ai që e përcjell. Kësaj pyetjeje i përgjigjet konfigurimi dhe jo maska, prandaj vendosni cila komponent përcjell trafikun mes palëve përpara se të shkruani çdo rregull.

Një nënrrjet është etiketë, jo rregull

Caktimi i një grupi adresash për çdo grup ju jep adresa të lexueshme dhe asgjë tjetër. Një klient që pranon një rrugë shtesë ka fituar arritshmëri, dhe arritshmëria nuk është autorizim. Leja për të folur qëndron në vendimin e përcjelljes, i cili mund të jetojë në demon ose në kernel në varësi të mënyrës si është konfiguruar serveri.

Zotërimi i adresës është ajo që e bën një prefiks të përdorshëm si përzgjedhës grupi. Çdo identitet i vërtetuar duhet të korrespondojë me një adresë ose interval të parashikueshëm, dhe ky mapim dështon sapo disa pajisje ndajnë një kredencial dhe një caktim. Zgjidhni identitetin dhe konkurencën përpara se të mbështeteni në një prefiks burimi, sepse një politikë që hamendëson cila makinë telefonon autorizon atë të gabuar në momentin më të keq.

Zgjidhni rrugën që mbart trafikun mes palëve

Kur demoni përcjell paketa mes palëve brenda procesit të vet, ato paketa nuk arrijnë kurrë në grepin e përcjelljes së hostit, kështu që një rregull i kernelit nuk mund t'i shohë. Çaktivizoni atë përcjellje të brendshme dhe kerneli bëhet pika e përcjelljes, ku zbatohen rregullat e zakonshme të përcjelljes.

# peer forwarding inside the daemon: enforce with per-group policy instead of FORWARD rules
client-to-client
# kernel forwarding path: remove the line above, then filter in the forward chain

Kanalet e shkarkuara të të dhënave dhe serverët e menaxhuar nga produkti publikojnë modelet e tyre të zbatimit, prandaj konfirmoni cilin po ekzekutoni në vend që të supozoni sjelljen e komunitetit. Dështimi që vlen të shmanget është një rregull që duket i saktë në një rishikim dhe nuk konsultohet kurrë gjatë ekzekutimit.

Shkruani matricën para rregullave

Një matricë e shkurtër është më e lehtë për t'u rishikuar sesa një grup rregullash, dhe është kontrata që implementimi duhet të përmbushë: palët e të njëjtit grup lejohen, palët mes grupeve refuzohen, të dy grupet lejohen drejt një shërbimi të përbashkët të emërtuar, gjithçka tjetër refuzohet. Shkruani ato katër rreshta përpara se të hapni një redaktues muri zjarri. Një rishikues që nuk lexon sintaksën e rregullave mund ta kontrollojë gjithsesi matricën. Pastaj implementimi duhet vetëm të përputhet me rreshtat.

Mbani tre klasat e destinacionit të ndara ndërsa e shkruani. Një shërbim në hostin VPN është hyrje lokale, një klient tjetër është tranzit mes palëve, dhe një makinë pas portës është një rrugë tjetër përcjelljeje. Një rregull bujar mund t'i japë të treja aksidentalisht, dhe kështu politika e grupit kthehet në një rrjet të sheshtë me hapa shtesë. Shkruani klasën pranë çdo rreshti që qëllimi të mbijetojë redaktimin e ardhshëm.

Vendosni rregullat atje ku mbijetojnë

Shtoni vendimet në të njëjtin vend ku mirëmbahet pjesa tjetër e murit të zjarrit, përpara çdo rregulli lejues që përndryshe do t'i gëlltiste. Rendi i rregullave është pjesë e politikës, dhe një rregull i saktë i vendosur pas një pranimi të gjerë nuk zbaton asgjë. Shënoni numrat e rregullave para dhe pas ndryshimit. Një politikë që ekziston në një redaktues por jo në grupin e rregullave që punon është plan, jo kontroll.

Vendosni çfarë ndodh me flukset që ekzistojnë tashmë kur politika ndryshon, sepse një sesion i hapur para ndryshimit mund të vazhdojë pas tij. Nëse një anëtar që largohet duhet të humbasë menjëherë aksesin, grupi i rregullave ka nevojë për një mënyrë për ta përfunduar atë gjendje në vend që të presë lidhjen të mbyllet vetë.

Bëjini rregullat të përhershme përmes mekanizmit që zotëron pjesën tjetër të murit të zjarrit, dhe regjistroni matricën pranë tyre. Një politikë e paregjistruar ri-derivohet nga kujtesa gjatë incidentit të ardhshëm, zakonisht nga dikush me nxitim.

Provojeni nga të dyja anët

Testoni arritshmërinë brenda të njëjtit grup, dështimin mes grupeve dhe shërbimin e përbashkët nga një klient në secilin grup. Një test i vetëm nga një klient i vetëm provon gjysmën e matricës, dhe gjysma që lë jashtë është zakonisht ajo e gabuar. Përsëritni drejtimin e refuzimit dy herë, sepse një sesion i ruajtur në cache mund të fshehë një gabim zbatimi. Shënoni cilin çift testuat që personi tjetër të mos e përsërisë.

Përsëritni kontrollin në IPv6 nëse tuneli e mbart, dhe mbani vërtetimin e zakonshëm të aplikacioneve. Një prefiks burimi nuk është llogari, prandaj kalimi i politikës së rrjetit nuk do të thotë që një shërbim duhet t'i besojë thirrësit.