Vikundi viwili vya wateja, seva moja: wapi kutekeleza sera

Kuweka vikundi viwili vya wateja kwenye subneti tofauti kunaonekana kama utengano, na sivyo. Anwani hueleza pakiti inaonekana kutoka wapi, ilhali ruhusa ni uamuzi unaofanywa na kile kinachoipeleka. Swali hilo hujibiwa na usanidi na si kwa kifuniko, kwa hivyo amua sehemu ipi inapeleka trafiki kati ya wenza kabla ya kuandika kanuni yoyote.

Subneti ni lebo, si kanuni

Kugawa bwawa moja kwa kila kikundi hukupa anwani zinazosomeka na hakuna kingine. Mteja anayekubali njia ya ziada amepata ufikivu, na ufikivu si idhini. Ruhusa ya kuzungumza iko katika uamuzi wa upelekaji, ambao unaweza kuwa katika daemon au katika kernel kulingana na jinsi seva imesanidiwa.

Umiliki wa anwani ndio hufanya kiambishi awali kitumike kama kichaguzi cha kikundi. Kila utambulisho uliothibitishwa lazima ulingane na anwani au masafa yanayotabirika, na ulinganifu huo hushindwa mara tu vifaa kadhaa vinaposhiriki kitambulisho kimoja na mgao mmoja. Tatua utambulisho na uwiano kabla ya kutegemea kiambishi awali cha chanzo, kwa sababu sera inayokisia mashine ipi inapiga huidhinisha isiyo sahihi wakati mbaya zaidi.

Chagua njia inayobeba trafiki kati ya wenza

Wakati daemon inapeleka pakiti za wenza ndani ya mchakato wake, pakiti hizo hazifikii ndoano ya upelekaji ya mwenyeji, kwa hivyo kanuni ya kernel haiwezi kuziona. Zima upelekaji huo wa ndani na kernel inakuwa mahali pa upelekaji, ambapo kanuni za kawaida za upelekaji zinatumika.

# peer forwarding inside the daemon: enforce with per-group policy instead of FORWARD rules
client-to-client
# kernel forwarding path: remove the line above, then filter in the forward chain

Mifereji ya data iliyopakuliwa na seva zinazosimamiwa na bidhaa huchapisha miundo yao ya utekelezaji, kwa hivyo thibitisha unayoendesha badala ya kudhani tabia ya jamii. Hitilafu inayostahili kuepukwa ni kanuni inayoonekana sahihi katika ukaguzi na haijawahi kushauriwa wakati wa utekelezaji.

Andika matrix kabla ya kuandika kanuni

Matrix fupi ni rahisi kukagua kuliko seti ya kanuni, na ndiyo mkataba ambao utekelezaji lazima uutimize: wenza wa kikundi kimoja wanaruhusiwa, wenza kati ya vikundi wanakataliwa, vikundi vyote viwili vinaruhusiwa kwa huduma moja ya pamoja iliyotajwa, kila kitu kingine kinakataliwa. Andika mistari hiyo minne kabla ya kufungua kihariri cha firewall. Mkaguzi asiyesoma sintaksia ya kanuni bado anaweza kukagua matrix. Kisha utekelezaji unapaswa tu kulingana na mistari.

Tenganisha madaraja matatu ya marudio unapoandika. Huduma kwenye mwenyeji wa VPN ni ingizo la ndani, mteja mwingine ni upitishaji wa wenza, na mashine iliyo nyuma ya lango ni njia nyingine ya upelekaji. Kanuni moja karimu inaweza kutoa zote tatu kwa bahati mbaya, na hivyo sera ya kikundi hubadilika kuwa mtandao tambarare wenye hatua za ziada. Andika daraja kando ya kila mstari ili nia idumu katika uhariri unaofuata.

Weka kanuni mahali zinapodumu

Ongeza maamuzi mahali pale pale panapohudumiwa firewall nyingine, kabla ya kanuni yoyote inayoruhusu ambayo vinginevyo ingeyameza. Mpangilio wa kanuni ni sehemu ya sera, na kanuni sahihi iliyowekwa baada ya kibali kikubwa haitekelezi chochote. Kumbuka namba za kanuni kabla na baada ya mabadiliko. Sera iliyo kwenye kihariri lakini siyo kwenye seti ya kanuni inayoendesha ni mpango, si udhibiti.

Amua kinachotokea kwa mtiririko uliopo tayari sera inapobadilika, kwa sababu kikao kilichofunguliwa kabla ya mabadiliko kinaweza kuendelea baadaye. Ikiwa mwanachama anayeondoka lazima apoteze ufikiaji mara moja, seti ya kanuni inahitaji njia ya kumaliza hali hiyo badala ya kusubiri muunganisho ujifunge wenyewe.

Fanya kanuni zidumu kupitia utaratibu unaomiliki firewall nyingine, na rekodi matrix kando yao. Sera isiyorekodiwa hupatikana tena kutoka kumbukumbu wakati wa tukio linalofuata, kwa kawaida na mtu aliye na haraka.

Thibitisha kutoka pande zote mbili

Jaribu ufikivu ndani ya kikundi kimoja, kushindwa kati ya vikundi na huduma ya pamoja kutoka kwa mteja mmoja katika kila kikundi. Jaribio moja kutoka kwa mteja mmoja huthibitisha nusu ya matrix, na nusu inayoachwa kawaida ndiyo isiyo sahihi. Rudia mwelekeo wa kukataa mara mbili, kwa sababu kikao kilichohifadhiwa kwenye akiba kinaweza kuficha kosa la utekelezaji. Rekodi ni jozi ipi ulijaribu ili mtu anayefuata asirudie.

Rudia ukaguzi kwenye IPv6 ikiwa handaki inaibeba, na uendelee uthibitishaji wa kawaida wa programu. Kiambishi awali cha chanzo si akaunti, kwa hivyo kupita sera ya mtandao hakumaanishi kuwa huduma inapaswa kumwamini mpigaji.