VPN клијенти и LAN: када користити одвојену зону

Постављање интерфејса тунела у зону LAN-а најкраћи је пут до VPN-а који ради, и обично је погрешна подразумевана вредност. То даје удаљеном клијенту исто поверење које има жичани LAN, а задатак то ретко захтева. Одвојена зона кошта неколико правила и чини границу видљивом. Одлука није да ли су зоне боље; него која три услова важе за вашу мрежу.

Назив зоне ништа не шифрује и не аутентификује корисника. Он само групише интерфејсе за модел политика заштитног зида.

Шта заправо контролише чланство у зони

Зона групише интерфејсе или саобраћај у моделу заштитног зида. Затим њене поставке улаза, излаза и прослеђивања управљају различитим улогама. Улаз је саобраћај ка самом рутеру; прослеђивање је саобраћај кроз њега ка другом домаћину. Документација OpenWrt-а о зонама управо зато третира улаз, излаз и прослеђивање као одвојене поставке.

Дозвола из зоне VPN у зону LAN није аутоматски обрнута дозвола. Правила прослеђивања имају смер, а правило које дозвољава саобраћај од клијента ка серверу не дозвољава сесије од сервера ка клијенту. Клијент који може да отвори везу ка серверу није клијент ка коме сервер може да отвори повратну везу.

Та разлика је разлог зашто је одвојена зона корисна: можете изричито навести сваки смер и сваку улогу. Запишите смер поред сваког правила.

Прва одлука: улаз, прослеђивање или обоје

Ако удаљеним клијентима треба DNS од рутера, дозволите улаз само за ту услугу. Ако треба да дођу до сервера датотека, дозволите прослеђивање ка тој дестинацији. Већина VPN пројеката захтева обоје, али за различите услуге.

Широк приступ преко улаза ка свакој локалној услузи готово никада није потребан. Третирајте управљање рутером као одвојену одлуку од приступа апликацијама. Ако рутеру треба само да одговара на DNS, запишите ту једину дозволу и оставите остало затворено.

Друга одлука: који ресурси су потребни удаљеним клијентима

Наведите опсеге клијената, дестинације и услуге које VPN треба да пружи пре писања правила. Списак дестинација је кориснији од ознаке поверења, јер преживљава миграцију заштитног зида.

Држите интерфејсе за управљање одвојено од уобичајеног приступа апликацијама. Удаљеном клијенту који стигне до викија због тога не треба административна страница рутера ни конзола хипервизора.

Ако дозвољена дестинација може даље да прослеђује, граница зоне се зауставља на заштитном зиду, а не на ономе што дестинација ради после.

Трећа одлука: како ћете доказати границу

После сваке измене тестирајте дозвољени ток и један намерно одбијен. Доказ да се једна страница учитава не открива ненамерну широку дозволу. Тестирајте из опсега адреса VPN клијента, не из LAN-а, и укључите смер у коме очекујете неуспех. Запишите оба резултата поред правила.

Сачувајте приступ за опоравак мрежног пролаза пре него што промените политику удаљене зоне. Користите трајну управљану конфигурацију уместо измена током рада, иначе следеће поновно покретање вратиће старо поверење. Копија претходне конфигурације, сачувана ван уређаја, најјефтинији је повратак који ћете икада имати.

Како мрежа расте, документујте чланство и сврху правила. Новоприкључени интерфејс не треба да наследи привилегије само зато што му је неко дао згодан назив зоне.