pfSenseలో స్థిర టన్నెల్ చిరునామాలు: ప్రాధాన్యతా లేక రిజర్వేషనా?
క్లయింట్ ఓవర్‌రైడ్ ఇష్టపడే చిరునామాను ఇస్తుంది, రిజర్వ్ చేసినది కాదు. దాన్ని స్థిర సర్వర్‌తో మరియు నియమాలు నమ్మే ముందు నెరవేరాల్సిన వాటితో పోల్చండి.
రెండు డిజైన్లు కాగితంపై ఒకేలా కనిపిస్తాయి మరియు నియమం వాటిపై ఆధారపడినప్పుడు చాలా భిన్నంగా ప్రవర్తిస్తాయి. ఒకటి క్లయింట్ ఓవర్‌రైడ్‌లో చిరునామా టైప్ చేసి చిరునామాను గుర్తింపుగా నమ్ముతుంది. మరొకటి డైనమిక్ ప్రవేశాన్ని పూర్తిగా మూసివేస్తుంది, కాబట్టి ఎండ్‌పాయింట్‌కు లేదా ప్రత్యేక కేటాయింపు ఉంటుంది లేదా అది కనెక్ట్ కాదు. రెండవది మాత్రమే చిరునామాను మీరు సమర్థించగల పాలసీ ఇన్‌పుట్‌గా మారుస్తుంది, మరియు ఒక్క ఫైర్‌వాల్ నియమం రాయకముందే ఈ భేదాన్ని అర్థం చేసుకోవడం విలువైనది.
ఓవర్‌రైడ్ చిరునామా నిజంగా ఏమి వాగ్దానం చేస్తుంది
క్లయింట్-నిర్దిష్ట ఓవర్‌రైడ్ ప్రతి క్లయింట్‌కు ఎంపికలను కలిగి ఉంటుంది, వాటిలో ఇష్టపడే టన్నెల్ చిరునామా కూడా ఉంటుంది. Netgate ఆ చిరునామాను రిజర్వేషన్ కాదు, ప్రాధాన్యత అని వివరిస్తుంది, అంటే డైనమిక్ పూల్ ఆ చిరునామాను మరొకరికి వదులుకోదు.
ఇది సాధారణంగా సరిపోతుంది. ఢీకొనడం అరుదు, మరియు క్లయింట్ సాధారణంగా అడిగినది పొందుతుంది, ఇది సౌలభ్యానికి సరిపోతుంది మరియు అనుమతికి సరిపోదు. సౌలభ్యం మరియు అనుమతి వేర్వేరు అవసరాలు, మరియు ఢీకొనడంలో వాటిలో ఒకటి మాత్రమే బయటపడుతుంది.
సబ్‌నెట్ టోపోలజీలో, ఫీల్డ్ క్లయింట్ చిరునామాను సర్వర్ నెట్‌వర్క్ మాస్క్‌తో పాటు తీసుకుంటుంది, కాబట్టి 10.90.0.0/24 టన్నెల్ లోపలి చిరునామా 10.90.0.10/24 గా రాయబడుతుంది.
ఇవేవీ సంఖ్యను రిజర్వ్ చేయవు. ఓవర్‌రైడ్ సరిపోలని క్లయింట్, లేదా నకిలీ సెషన్, పూల్‌లో వేరే చోట ముగియవచ్చు, మరియు చిరునామాపై ఆధారపడిన నియమం అప్పుడు అక్కడ లేని వ్యక్తిని వివరిస్తుంది.
పరిమిత డిఫాల్ట్‌తో డైనమిక్ మార్గాన్ని మూసివేయండి
ప్రత్యామ్నాయం స్థిర సర్వర్ మాత్రమే: అనుమతించిన ప్రతి ఎండ్‌పాయింట్‌కు దాని స్వంత గుర్తింపు మరియు దాని స్వంత ప్రత్యేక చిరునామా ఉంటాయి, మరేదీ లోపలికి రాదు.
దాన్ని అమలు చేయడం అంటే ఆ ఒక్క సర్వర్‌కు మాత్రమే పరిమితమైన, కనెక్షన్ బ్లాకింగ్ ప్రారంభించిన DEFAULT ఓవర్‌రైడ్. సరిపోలే ఓవర్‌రైడ్ లేని క్లయింట్ అప్పుడు సాధారణ డైనమిక్ ప్రవేశానికి తిరిగి రాలేదు. ఆ ఒక్క పంక్తే ప్రాధాన్యతను మూసిన సమితిగా మారుస్తుంది.
పరిధి ముఖ్యం. పరికరంలోని ప్రతి VPN ఇన్‌స్టాన్స్‌కు వర్తించే డిఫాల్ట్ ఓవర్‌రైడ్ సంబంధం లేని టన్నెళ్లను లాక్ చేస్తుంది, మరియు ఆ వైఫల్యం పాలసీ నిర్ణయం కంటే పాడైన సేవలా కనిపిస్తుంది. మీరు మారుస్తున్న ప్రవేశ నమూనా యొక్క ఆ ఒక్క సర్వర్‌కు దాన్ని కట్టండి. తర్వాత మార్పు లాగ్‌లో పరిధిని గుర్తించండి, ఎందుకంటే తదుపరి వ్యక్తి అది ఏ టన్నెల్‌దో గుర్తుంచుకోరు.
తర్వాత మొత్తం అనుమతించిన సమితిని ఆడిట్ చేయండి. డిఫాల్ట్ బ్లాక్ చిరునామా లేకుండా మిగిలిన పేరున్న ఓవర్‌రైడ్‌ను సరిచేయదు, మరియు ఆ ఎండ్‌పాయింట్ స్పష్టమైన సూచన లేకుండా కనెక్ట్ కాలేదు.
సర్వర్ నిజంగా ఉపయోగించే గుర్తింపుతో సరిపోల్చండి
ఓవర్‌రైడ్ ఏదో ఒకదానితో సరిపోలుతుంది. సర్టిఫికెట్ల సాధారణ పేర్లను సరిపోల్చే సర్వర్‌లో, ఓవర్‌రైడ్ పేరు ఆ సాధారణ పేరే ఉండాలి, వ్యక్తి ప్రదర్శన పేరు కాదు. దాన్ని ఖాతా జాబితా నుండి కాదు, సర్టిఫికెట్ నుండి కాపీ చేయండి.
వినియోగదారు పేరును సాధారణ పేరుగా ఉపయోగించేలా కాన్ఫిగర్ చేసిన సర్వర్ పూర్తిగా వేరే కీపై సరిపోలుతుంది, మరియు సర్టిఫికెట్ పేరుతో పెట్టిన ఓవర్‌రైడ్ ఎప్పటికీ పనిచేయదు. సెట్టింగ్‌ను చదవండి, ఖాతా జాబితా చూపిన దాని నుండి ఊహించకండి.
అమలు అవసరపడే అదనపు ప్రామాణీకరణ కారకాలను ఉంచండి. మూసిన చిరునామా నమూనా ఎవరు కనెక్ట్ కావచ్చు మరియు ఏ చిరునామా పొందుతారో మారుస్తుంది; ఇది సర్టిఫికెట్ తనిఖీని లేదా రెండవ కారకాన్ని భర్తీ చేయదు.
మ్యాప్ సరైన తర్వాత యాక్సెస్ నియమాలు రాయండి
గుర్తింపు నుండి చిరునామాకు మ్యాప్ మూసిన తర్వాత, నియమాలు చిరునామాలను వ్యక్తులుగా నటించకుండా సూచించగలవు. ఒక వ్యక్తి ఎండ్‌పాయింట్లను సమూహపరిచే మారుపేరు నిర్దిష్ట సేవను చేరుకోగలదు, మరొక మారుపేరు మరేదో చేరుకుంటుంది. మారుపేరు సమీక్షించగల వస్తువు అవుతుంది, చిరునామా దానిలో అమలు వివరం అవుతుంది.
గమ్యాలు మరియు పోర్టులను స్పష్టంగా ఉంచండి. మొత్తం టన్నెల్ పూల్ నుండి మొత్తం స్థానిక నెట్‌వర్క్‌ను అనుమతించడం ఈ వ్యాయామం భర్తీ చేయాల్సిన డిజైనే.
ఫ్లోటింగ్, గ్రూప్ మరియు ఇంటర్‌ఫేస్ నియమాలను వాటి నిజమైన మూల్యాంకన క్రమంలో చదవండి, ఎందుకంటే మునుపటి విస్తృత మార్గం తర్వాతి సన్నని మార్గాన్ని రద్దు చేస్తుంది. క్లయింట్-నుండి-క్లయింట్ అంతర్గత ఫార్వర్డింగ్ ఆపడం తోటి ట్రాఫిక్‌ను ఆ నియమాలు సమీక్షించబడే సరిహద్దులో ఉంచుతుంది. కేవలం కాగితంపై ఉన్న నియమం అమలు కాదు.
ప్రతికూల సందర్భాలను పరీక్షించండి
నాలుగు కొత్త కనెక్షన్లను ప్రయత్నించండి: పేరున్న ఎండ్‌పాయింట్, ఏ ఓవర్‌రైడ్ లేని ఒకటి, చేరుకోగలిగే సేవ, చేరుకోకూడని సేవ. జాబితాలో లేని ఎండ్‌పాయింట్ ముఖ్యమైన సందర్భం, ఎందుకంటే డిజైన్ దాన్ని ఆపడానికే ఉంది. అది కనెక్ట్ అయితే, డిఫాల్ట్ బ్లాక్ తన పని చేయడం లేదు.
IPv6ను విడిగా తనిఖీ చేయండి, ఎందుకంటే IPv4 చిరునామా పాలసీ రెండవ స్టాక్ గురించి ఏమీ చెప్పదు. తర్వాత అప్లికేషన్ ఇప్పటికీ వినియోగదారుని అనుమతిస్తుందని నిర్ధారించండి, ఎందుకంటే టన్నెల్ చిరునామా నెట్‌వర్క్ వాస్తవం, కీబోర్డ్‌లో ఎవరు ఉన్నారనడానికి రుజువు కాదు. రెండు తనిఖీలు ఆమోద నోట్‌లో ఉండాలి.
చివరగా, మైగ్రేషన్‌ను ప్రణాళిక చేయండి. కొత్త ఓవర్‌రైడ్‌లు మరియు సన్నని నియమాలు ఇప్పటికే ఏర్పాటైన సెషన్లను వెనక్కి మార్చవు, కాబట్టి ఉన్న స్థితులు గడువు ముగియాలి లేదా ఉద్దేశపూర్వకంగా తొలగించబడాలి.