Klientët VPN dhe LAN-i: kur të përdoret një zonë e veçantë

Vendosja e ndërfaqes së tunelit në zonën e LAN-it është rruga më e shkurtër drejt një VPN-i që funksionon, dhe zakonisht është vlera e parazgjedhur e gabuar. Klientit në distancë i jep të njëjtin besim që ka LAN-i me kabllo, gjë që detyra rrallë e kërkon. Një zonë e veçantë kushton disa rregulla dhe e bën kufirin të dukshëm. Vendimi nuk është nëse zonat janë më të mira; është cilat tri kushte zbatohen për rrjetin tënd.

Emri i zonës nuk kripton asgjë dhe nuk vërteton përdorues. Ai vetëm grupon ndërfaqet për modelin e politikave të firewall-it.

Çfarë kontrollon në të vërtetë anëtarësia në zonë

Një zonë grupon ndërfaqet ose trafikun brenda modelit të firewall-it. Më pas, cilësimet e hyrjes, daljes dhe përcjelljes së saj drejtojnë role të ndryshme. Hyrja është trafiku drejt vetë ruterit; përcjellja është trafiku përmes tij drejt një hosti tjetër. Dokumentacioni i OpenWrt për zonat i trajton hyrjen, daljen dhe përcjelljen si cilësime të veçanta pikërisht për këtë arsye.

Një leje nga zona VPN në zonën LAN nuk është automatikisht leje e kundërt. Rregullat e përcjelljes janë me drejtim, dhe një rregull që lejon trafik nga klienti në server nuk lejon sesione nga serveri në klient. Një klient që mund të hapë lidhje drejt një serveri nuk është klient drejt të cilit serveri mund të hapë lidhje kthimi.

Ky dallim është arsyeja pse një zonë e veçantë është e dobishme: mund të deklarosh shprehimisht çdo drejtim dhe çdo rol. Shkruaj drejtimin pranë çdo rregulli.

Vendimi i parë: hyrje, përcjellje apo të dyja

Nëse klientët në distancë kanë nevojë për DNS nga ruteri, lejo hyrjen vetëm për atë shërbim. Nëse duhet të arrijnë një server skedarësh, lejo përcjelljen drejt atij destinacioni. Shumica e projekteve VPN kanë nevojë për të dyja, por për shërbime të ndryshme.

Aksesi i gjerë i hyrjes për çdo shërbim lokal pothuajse nuk nevojitet kurrë. Trajto administrimin e ruterit si vendim të veçantë nga aksesi në aplikacione. Nëse ruteri i duhet vetëm të përgjigjet për DNS, shkruaj atë leje të vetme dhe lëre pjesën tjetër të mbyllur.

Vendimi i dytë: çfarë burimesh u duhen klientëve në distancë

Rendit intervalet e klientëve, destinacionet dhe shërbimet që VPN-i duhet të ofrojë përpara se të shkruash rregulla. Një listë destinacionesh është më e dobishme se një etiketë besimi, sepse i mbijeton një migrimi të firewall-it.

Mbaji ndërfaqet e administrimit të ndara nga aksesi i zakonshëm në aplikacione. Një klient në distancë që arrin një wiki nuk ka për këtë arsye nevojë për faqen e administratorit të ruterit apo konsolën e hipervizorit.

Nëse një destinacion i lejuar mund të përcjellë më tej, kufiri i zonës ndalon te firewall-i, jo te ajo që bën destinacioni më pas.

Vendimi i tretë: si do ta provosh kufirin

Pas çdo ndryshimi provo një rrjedhë të lejuar dhe një të refuzuar qëllimisht. Të provosh që një faqe ngarkohet nuk zbulon një leje të gjerë të paqëllimshme. Provo nga intervali i adresave të klientit VPN, jo nga LAN-i, dhe përfshi drejtimin ku pret dështim. Shkruaj të dyja rezultatet pranë rregullit.

Ruaj aksesin e rikuperimit të gateway-it përpara se të ndryshosh politikën e zonës në distancë. Përdor konfigurimin e menaxhuar të përhershëm në vend të ndryshimeve gjatë punës, përndryshe rinisja tjetër do të rikthejë besimin e vjetër. Një kopje e konfigurimit të mëparshëm, e ruajtur jashtë pajisjes, është kthimi më i lirë që do të kesh ndonjëherë.

Ndërsa rrjeti rritet, dokumento anëtarësinë dhe qëllimin e rregullave. Një ndërfaqe e sapo lidhur nuk duhet të trashëgojë privilegje vetëm sepse dikush i dha një emër zone të përshtatshëm.