இரண்டு கிளையண்ட் குழுக்கள், ஒரு சேவையகம்: கொள்கையை எங்கு அமல்படுத்துவது
துணை வலையமைப்புகள் குழுக்களை லேபிளிடுகின்றன; அவற்றை தனிமைப்படுத்துவதில்லை. எந்த முன்னனுப்பல் பாதை விதியைச் சொந்தமாக்குகிறது என்பதை முடிவு செய்து, செயலாக்கம் அமல்படுத்த வேண்டிய அணியை எழுதுங்கள்.
இரண்டு கிளையண்ட் குழுக்களை வெவ்வேறு துணை வலையமைப்புகளில் வைப்பது தனிமைப்படுத்தல் போலத் தெரிகிறது, ஆனால் அதுவல்ல. முகவரிகள் பாக்கெட் எங்கிருந்து வருவது போலத் தெரிகிறது என்பதை விவரிக்கின்றன, அதேசமயம் அனுமதி அதை முன்னனுப்பும் அமைப்பு எடுக்கும் முடிவு. இந்தக் கேள்விக்கு முகமூடி அல்ல, கட்டமைப்பே பதிலளிக்கிறது, எனவே எந்த விதியையும் எழுதுவதற்கு முன் எந்தக் கூறு சகர்களின் போக்குவரத்தை முன்னனுப்புகிறது என்பதை முடிவு செய்யுங்கள்.
துணை வலையமைப்பு ஒரு லேபிள், விதி அல்ல
ஒவ்வொரு குழுவுக்கும் ஒரு தொகுப்பை ஒதுக்குவது படிக்கக்கூடிய முகவரிகளைத் தருகிறது, வேறு எதுவும் இல்லை. கூடுதல் பாதையை ஏற்கும் கிளையண்ட் அணுகலைப் பெற்றுள்ளது, அணுகல் என்பது அனுமதி அல்ல. பேசும் அனுமதி முன்னனுப்பல் முடிவில் உள்ளது, அது சேவையகம் எவ்வாறு கட்டமைக்கப்பட்டுள்ளது என்பதைப் பொறுத்து டீமனில் அல்லது கர்னலில் இருக்கலாம்.
முகவரி உரிமையே முன்னொட்டைக் குழு தேர்வியாகப் பயன்படுத்தக்கூடியதாக்குகிறது. ஒவ்வொரு அங்கீகரிக்கப்பட்ட அடையாளமும் முன்னறியக்கூடிய முகவரி அல்லது வரம்புக்கு பொருந்த வேண்டும், பல சாதனங்கள் ஒரே சான்றுகளையும் ஒரே ஒதுக்கீட்டையும் பகிர்ந்துகொண்டவுடன் அந்தப் பொருத்தம் உடைகிறது. மூல முன்னொட்டை நம்புவதற்கு முன் அடையாளத்தையும் ஒருமித்தன்மையையும் தீர்க்கவும், ஏனெனில் எந்த இயந்திரம் அழைக்கிறது என ஊகிக்கும் கொள்கை மோசமான தருணத்தில் தவறானதற்கு அனுமதி தருகிறது.
சகர்களின் போக்குவரத்தைச் சுமக்கும் பாதையைத் தேர்ந்தெடுக்கவும்
டீமன் தன் செயல்முறைக்குள் சகர்களின் பாக்கெட்டுகளை முன்னனுப்பும்போது, அந்தப் பாக்கெட்டுகள் ஒருபோதும் புரவலன் முன்னனுப்பல் கொக்கியை அடையாது, எனவே கர்னல் விதி அவற்றைப் பார்க்க முடியாது. அந்த உள் முன்னனுப்பலை முடக்குங்கள், கர்னல் முன்னனுப்பல் புள்ளியாகும், அங்கு சாதாரண முன்னனுப்பல் விதிகள் பொருந்தும்.
# peer forwarding inside the daemon: enforce with per-group policy instead of FORWARD rules
client-to-client
# kernel forwarding path: remove the line above, then filter in the forward chainஇறக்கப்பட்ட தரவு கால்வாய்களும் தயாரிப்பு நிர்வகிக்கும் சேவையகங்களும் தங்கள் சொந்த அமலாக்க மாதிரிகளை வெளியிடுகின்றன, எனவே சமூகத்தின் நடத்தையை ஊகிப்பதற்குப் பதிலாக நீங்கள் எதை இயக்குகிறீர்கள் என்பதை உறுதிப்படுத்துங்கள். தவிர்க்கத் தகுந்த தோல்வி என்பது மறுஆய்வில் சரியாகத் தெரிந்தும் இயக்க நேரத்தில் ஒருபோதும் கேட்கப்படாத விதியே.
விதிகளுக்கு முன் அணியை எழுதுங்கள்
சிறிய அணி விதித் தொகுப்பைக் காட்டிலும் மறுஆய்வு செய்ய எளிதானது, அது செயலாக்கம் நிறைவேற்ற வேண்டிய ஒப்பந்தம்: ஒரே குழுவின் சகர்கள் அனுமதிக்கப்படுகின்றனர், குழுக்களுக்கு இடையேயான சகர்கள் மறுக்கப்படுகின்றனர், இரு குழுக்களும் ஒரு பெயரிடப்பட்ட பகிரப்பட்ட சேவைக்கு அனுமதிக்கப்படுகின்றன, மற்ற அனைத்தும் மறுக்கப்படுகின்றன. தீ பாதுகாப்பு திருத்தியைத் திறப்பதற்கு முன் அந்த நான்கு வரிகளை எழுதுங்கள். விதிகளின் தொடரியலைப் படிக்காத மறுஆய்வாளரும் அணியைச் சரிபார்க்கலாம். பிறகு செயலாக்கம் வரிகளுடன் பொருந்தினால் போதும்.
| Source | Destination | Decision |
|---|---|---|
| Group A address | Another Group A address | Allow |
| Group A address | A Group B address | Deny |
| Either group | The shared internal service | Allow |
| Either group | Anything not listed | Deny |
எழுதும்போது மூன்று இலக்கு வகுப்புகளைத் தனித்தனியாக வைத்திருங்கள். VPN புரவலனில் உள்ள சேவை உள்ளூர் உள்ளீடு, மற்றொரு கிளையண்ட் சகர் கடத்தல், நுழைவாயிலுக்குப் பின்னால் உள்ள இயந்திரம் வேறு முன்னனுப்பல் பாதை. ஒரு தாராள விதி தற்செயலாக மூன்றையும் தரலாம், அதனால் குழுக் கொள்கை கூடுதல் படிகளுடன் தட்டையான வலையமைப்பாக மாறுகிறது. ஒவ்வொரு வரியின் அருகிலும் வகுப்பை எழுதுங்கள், நோக்கம் அடுத்த திருத்தத்திலும் நிலைக்கும்.
விதிகள் நிலைக்கும் இடத்தில் வைக்கவும்
தீ பாதுகாப்பின் மற்ற பகுதி பராமரிக்கப்படும் அதே இடத்தில் முடிவுகளைச் சேர்க்கவும், அவற்றை விழுங்கக்கூடிய எந்த அனுமதி விதிக்கும் முன். விதிகளின் வரிசை கொள்கையின் பகுதி, பரந்த அனுமதிக்குப் பிறகு வைக்கப்படும் சரியான விதி எதையும் அமல்படுத்தாது. மாற்றத்திற்கு முன்னும் பின்னும் விதி எண்களைக் குறித்துக்கொள்ளுங்கள். திருத்தியில் உள்ளதும் ஆனால் இயங்கும் விதித் தொகுப்பில் இல்லாததுமான கொள்கை திட்டம், கட்டுப்பாடு அல்ல.
கொள்கை மாறும்போது ஏற்கனவே உள்ள ஓட்டங்களுக்கு என்ன நடக்கும் என்பதை முடிவு செய்யுங்கள், ஏனெனில் மாற்றத்திற்கு முன் திறக்கப்பட்ட அமர்வு பிறகும் தொடரலாம். வெளியேறும் உறுப்பினர் உடனடியாக அணுகலை இழக்க வேண்டுமானால், இணைப்பு தானாக மூடப்படும் வரை காத்திருக்காமல் அந்த நிலையை முடிக்கும் வழி விதித் தொகுப்பில் இருக்க வேண்டும்.
தீ பாதுகாப்பின் மற்ற பகுதியைச் சொந்தமாக்கும் பொறிமுறையின் மூலம் விதிகளை நிலைநிறுத்துங்கள், அவற்றின் அருகில் அணியைப் பதிவு செய்யுங்கள். பதிவு செய்யப்படாத கொள்கை அடுத்த சம்பவத்தில் நினைவிலிருந்து மீண்டும் பெறப்படுகிறது, பொதுவாக அவசரப்படும் ஒருவரால்.
இரு பக்கங்களிலிருந்தும் நிரூபிக்கவும்
ஒவ்வொரு குழுவிலும் ஒரு கிளையண்டிலிருந்து ஒரே குழுவின் அணுகல், குழுக்களுக்கு இடையேயான தோல்வி மற்றும் பகிரப்பட்ட சேவையைச் சோதிக்கவும். ஒரு கிளையண்டிலிருந்து ஒரு சோதனை அணியின் பாதியை நிரூபிக்கிறது, விட்டுச் செல்லும் பாதியே பொதுவாக தவறானது. மறுப்பு திசையை இரண்டு முறை மீண்டும் செய்யுங்கள், ஏனெனில் தேக்ககப்படுத்தப்பட்ட அமர்வு அமலாக்கப் பிழையை மறைக்கலாம். எந்த இணையைச் சோதித்தீர்கள் என்பதைப் பதிவு செய்யுங்கள், அடுத்தவர் அதை மீண்டும் செய்யாமல் இருக்க.
பாதாளம் IPv6 ஐச் சுமந்தால் அதில் சரிபார்ப்பை மீண்டும் செய்யுங்கள், சாதாரண பயன்பாட்டு அங்கீகாரத்தை வைத்திருங்கள். மூல முன்னொட்டு ஒரு கணக்கு அல்ல, எனவே வலையமைப்புக் கொள்கையைக் கடப்பது என்பது சேவை அழைப்பவரை நம்ப வேண்டும் என்று பொருள் அல்ல.