Статичне адресе тунела у pfSense: преференција или резервација?

Два дизајна изгледају слично на папиру и понашају се веома различито када правило зависи од њих. Један уноси адресу у клијентско превлачење и верује адреси као идентитету. Други потпуно затвара динамички пријем, тако да крајња тачка или има јединствену доделу или се не повезује. Само други претвара адресу у елемент политике који можете да браните, а разлику вреди разумети пре него што напишете иједно правило заштитног зида.

Шта адреса превлачења заиста обећава

Превлачење специфично за клијента носи опције по клијенту, укључујући преферирану адресу тунела. Netgate описује ту адресу као преференцију, а не као резервацију, што значи да динамички пул не уступа адресу ником другом.

То је обично у реду. Колизија је ретка, а клијент обично добија оно што је тражио, што је довољно за удобност и није довољно за ауторизацију. Удобност и ауторизација су различити захтеви, и само један од њих преживљава колизију.

Код топологије подмреже поље узима адресу клијента заједно са маском мреже сервера, тако да се адреса унутар тунела 10.90.0.0/24 записује као 10.90.0.10/24.

Ништа од тога не резервише број. Клијент чије се превлачење не поклапа, или дуплирана сесија, може завршити другде у пулу, и правило везано за адресу тада описује некога кога тамо нема.

Затворите динамички пут ограниченим подразумеваним

Алтернатива је сервер само са статичким адресама: свака примљена крајња тачка има сопствени идентитет и сопствену јединствену адресу, и ништа друго не улази.

Примена значи превлачење DEFAULT ограничено на тај један сервер са укљученим блокирањем веза. Клијент без одговарајућег превлачења тада не може да се врати на уобичајени динамички пријем. Управо тај један ред претвара преференцију у затворен скуп.

Обим је важан. Подразумевано превлачење примењено на сваку VPN инстанцу на уређају закључаће неповезане тунеле, и тај квар изгледа као покварена услуга, а не као одлука политике. Вежите га за једини сервер чији модел пријема мењате. Затим забележите обим у дневнику измена, јер следећа особа неће памтити којем тунелу припада.

Након тога проверите цео дозвољени скуп. Подразумевано блокирање не поправља именовано превлачење остављено без адресе, и та крајња тачка једноставно неће моћи да се повеже без очигледног наговештаја зашто.

Упоредите са идентитетом који сервер заиста користи

Превлачење се поклапа са нечим. На серверу који упоређује уобичајена имена сертификата, име превлачења мора бити то уобичајено име, а не приказано име особе. Копирајте га из сертификата, а не из листе налога.

Сервер конфигурисан да користи корисничко име као уобичајено име упоређује по потпуно другом кључу, и превлачење названо по сертификату никада се неће активирати. Прочитајте подешавање, уместо да га закључујете из онога што показује листа налога.

Задржите додатне факторе аутентификације које захтева распоређивање. Затворен модел адреса мења ко може да се повеже и коју адресу добија; он не замењује проверу сертификата ни други фактор.

Напишите правила приступа када мапа буде исправна

Када је мапа од идентитета до адресе затворена, правила могу да референцирају адресе без претварања да су то људи. Алијас који групише крајње тачке једне особе може да достигне одређену услугу, док други алијас достиже нешто друго. Алијас постаје објекат за преглед, а адреса постаје детаљ имплементације унутар њега.

Држите одредишта и портове експлицитним. Дозвољавање целе локалне мреже из целог пула тунела је управо дизајн који је ова вежба требало да замени.

Читајте лебдећа, групна и интерфејсна правила у њиховом стварном редоследу процене, јер ранији широки пролаз поништава каснији уски. Искључивање интерног прослеђивања између клијената задржава саобраћај између парова на граници где се та правила прегледају. Правило које постоји само на папиру није примена.

Тестирајте негативне случајеве

Испробајте четири нове везе: именовану крајњу тачку, ону без икаквог превлачења, услугу која би требало да буде доступна и ону која не би требало. Ненаведена крајња тачка је важан случај, јер је управо она та коју дизајн постоји да заустави. Ако се повеже, подразумевано блокирање не ради свој посао.

Проверите IPv6 одвојено, јер политика адреса IPv4 ништа не говори о другом стеку. Затим потврдите да апликација и даље ауторизује корисника, јер је адреса тунела мрежна чињеница, а не доказ ко је за тастатуром. Обе провере припадају белешци о прихватању.

На крају, испланирајте миграцију. Нова превлачења и уска правила не мењају уназад већ успостављене сесије, тако да постојећа стања морају да истекну или буду намерно обрисана.