రెండు క్లయింట్ గ్రూపులు, ఒక సర్వర్: విధానాన్ని ఎక్కడ అమలు చేయాలి
సబ్‌నెట్‌లు గ్రూపులకు లేబుల్ ఇస్తాయి; వాటిని వేరు చేయవు. ఏ ఫార్వర్డింగ్ మార్గం నియమాన్ని కలిగి ఉందో నిర్ణయించి, అమలు తప్పనిసరిగా చేయవలసిన మ్యాట్రిక్స్‌ను రాయండి.
రెండు క్లయింట్ గ్రూపులను వేర్వేరు సబ్‌నెట్‌లపై ఉంచడం వేరుచేయడంలా కనిపిస్తుంది, కానీ అది కాదు. చిరునామాలు ప్యాకెట్ ఎక్కడి నుంచి వస్తున్నట్టు కనిపిస్తుందో వివరిస్తాయి, అయితే అనుమతి అనేది దాన్ని ఫార్వర్డ్ చేసేది తీసుకునే నిర్ణయం. ఈ ప్రశ్నకు మాస్క్ కాదు, కాన్ఫిగరేషన్ సమాధానం ఇస్తుంది, కాబట్టి ఏదైనా నియమం రాయడానికి ముందు ఏ భాగం పీర్ ట్రాఫిక్‌ను ఫార్వర్డ్ చేస్తుందో నిర్ణయించండి.
సబ్‌నెట్ ఒక లేబుల్, నియమం కాదు
ప్రతి గ్రూపుకు ఒక పూల్ కేటాయించడం మీకు చదవదగిన చిరునామాలను ఇస్తుంది, అంతే. అదనపు మార్గాన్ని అంగీకరించిన క్లయింట్ చేరుకోగల సామర్థ్యాన్ని పొందింది, చేరుకోగల సామర్థ్యం అనుమతి కాదు. మాట్లాడే అనుమతి ఫార్వర్డింగ్ నిర్ణయంలో ఉంది, అది సర్వర్ ఎలా కాన్ఫిగర్ చేయబడిందనే దానిపై డీమన్‌లో లేదా కర్నెల్‌లో ఉండవచ్చు.
చిరునామా యాజమాన్యమే ప్రిఫిక్స్‌ను గ్రూప్ ఎంపికకర్తగా ఉపయోగించగలిగేలా చేస్తుంది. ప్రతి ప్రామాణీకృత గుర్తింపు ఊహించదగిన చిరునామా లేదా పరిధికి సరిపోవాలి, మరియు అనేక పరికరాలు ఒకే ఆధారాలను, ఒకే కేటాయింపును పంచుకున్న వెంటనే ఆ సరిపోలిక విఫలమవుతుంది. మూల ప్రిఫిక్స్‌పై ఆధారపడే ముందు గుర్తింపు, సమకాలికతను పరిష్కరించండి, ఎందుకంటే ఏ యంత్రం కాల్ చేస్తోందో ఊహించే విధానం అత్యంత దుర్భర క్షణంలో తప్పుదానికి అనుమతి ఇస్తుంది.
పీర్ ట్రాఫిక్‌ను మోసుకెళ్లే మార్గాన్ని ఎంచుకోండి
డీమన్ తన ప్రక్రియ లోపల పీర్ ప్యాకెట్లను ఫార్వర్డ్ చేసినప్పుడు, ఆ ప్యాకెట్లు ఎప్పటికీ హోస్ట్ ఫార్వర్డింగ్ హుక్‌ను చేరుకోవు, కాబట్టి కర్నెల్ నియమం వాటిని చూడలేదు. ఆ అంతర్గత ఫార్వర్డింగ్‌ను నిలిపివేయండి, కర్నెల్ ఫార్వర్డింగ్ బిందువు అవుతుంది, అక్కడ సాధారణ ఫార్వర్డ్ నియమాలు వర్తిస్తాయి.
# peer forwarding inside the daemon: enforce with per-group policy instead of FORWARD rules
client-to-client
# kernel forwarding path: remove the line above, then filter in the forward chainఆఫ్‌లోడ్ చేసిన డేటా ఛానెల్‌లు మరియు ఉత్పత్తి నిర్వహించే సర్వర్‌లు తమ స్వంత అమలు నమూనాలను ప్రచురిస్తాయి, కాబట్టి సమాజ ప్రవర్తనను ఊహించడం బదులు మీరు ఏది నడుపుతున్నారో నిర్ధారించుకోండి. నివారించదగిన వైఫల్యం అంటే సమీక్షలో సరిగ్గా కనిపించి రన్‌టైమ్‌లో ఎప్పుడూ అడగని నియమం.
నియమాలకు ముందు మ్యాట్రిక్స్ రాయండి
చిన్న మ్యాట్రిక్స్ నియమాల సమితి కంటే సమీక్షించడం సులభం, మరియు అది అమలు తీర్చవలసిన ఒప్పందం: ఒకే గ్రూపు పీర్‌లు అనుమతి, గ్రూపుల మధ్య పీర్‌లు నిరాకరణ, రెండు గ్రూపులకూ ఒక పేరున్న పంచుకున్న సేవకు అనుమతి, మిగతావన్నీ నిరాకరణ. ఫైర్‌వాల్ ఎడిటర్ తెరిచే ముందు ఆ నాలుగు పంక్తులు రాయండి. నియమాల సింటాక్స్ చదవని సమీక్షకుడు కూడా మ్యాట్రిక్స్‌ను తనిఖీ చేయగలరు. తర్వాత అమలు పంక్తులకు సరిపోతే చాలు.
| Source | Destination | Decision |
|---|---|---|
| Group A address | Another Group A address | Allow |
| Group A address | A Group B address | Deny |
| Either group | The shared internal service | Allow |
| Either group | Anything not listed | Deny |
రాసేటప్పుడు మూడు గమ్యస్థాన తరగతులను వేరుగా ఉంచండి. VPN హోస్ట్‌పై సేవ స్థానిక ఇన్‌పుట్, మరో క్లయింట్ పీర్ ట్రాన్సిట్, గేట్‌వే వెనుక ఉన్న యంత్రం మరో ఫార్వర్డింగ్ మార్గం. ఒక ఉదార నియమం ప్రమాదవశాత్తు మూడింటినీ ఇవ్వగలదు, అలా గ్రూపు విధానం అదనపు దశలతో చదునైన నెట్‌వర్క్‌గా మారుతుంది. ప్రతి వరుస పక్కన తరగతిని రాయండి, ఉద్దేశం తదుపరి సవరణలోనూ నిలిచేలా.
నియమాలు నిలిచే చోట వాటిని ఉంచండి
ఫైర్‌వాల్ మిగిలిన భాగం నిర్వహించే అదే చోట నిర్ణయాలను జోడించండి, వాటిని మింగగల ఏ అనుమతి నియమానికైనా ముందు. నియమాల క్రమం విధానంలో భాగం, మరియు విస్తృత అనుమతి తర్వాత ఉంచిన సరైన నియమం ఏదీ అమలు చేయదు. మార్పుకు ముందు, తర్వాత నియమ సంఖ్యలను గుర్తించండి. ఎడిటర్‌లో ఉన్నా నడుస్తున్న నియమాల సమితిలో లేని విధానం ప్రణాళిక, నియంత్రణ కాదు.
విధానం మారినప్పుడు ఇప్పటికే ఉన్న ప్రవాహాలకు ఏమవుతుందో నిర్ణయించండి, ఎందుకంటే మార్పుకు ముందు తెరిచిన సెషన్ తర్వాత కూడా కొనసాగవచ్చు. వైదొలిగే సభ్యుడు వెంటనే ప్రాప్యత కోల్పోవాల్సి ఉంటే, కనెక్షన్ తనంతట తానుగా మూసుకోవడం కోసం వేచి ఉండకుండా ఆ స్థితిని ముగించే మార్గం నియమాల సమితిలో ఉండాలి.
ఫైర్‌వాల్ మిగిలిన భాగాన్ని కలిగి ఉన్న యంత్రాంగం ద్వారా నియమాలను శాశ్వతం చేయండి, వాటి పక్కన మ్యాట్రిక్స్‌ను నమోదు చేయండి. నమోదు చేయని విధానం తదుపరి సంఘటనలో జ్ఞాపకం నుంచి తిరిగి ఉత్పన్నమవుతుంది, సాధారణంగా తొందరపడుతున్న వ్యక్తి చేత.
రెండు వైపులా నిరూపించండి
ప్రతి గ్రూపులోని ఒక క్లయింట్ నుంచి ఒకే గ్రూపు ప్రాప్యత, గ్రూపుల మధ్య వైఫల్యం, పంచుకున్న సేవను పరీక్షించండి. ఒక క్లయింట్ నుంచి ఒకే పరీక్ష మ్యాట్రిక్స్‌లో సగాన్ని నిరూపిస్తుంది, మిగిల్చిన సగమే సాధారణంగా తప్పు. తిరస్కరణ దిశను రెండుసార్లు పునరావృతం చేయండి, ఎందుకంటే క్యాష్ చేసిన సెషన్ అమలు పొరపాటును దాచగలదు. మీరు ఏ జోడీని పరీక్షించారో నమోదు చేయండి, తదుపరి వ్యక్తి దాన్ని పునరావృతం చేయకుండా.
టన్నెల్ IPv6 మోసుకెళితే దానిపై పరీక్షను పునరావృతం చేయండి, సాధారణ అప్లికేషన్ ప్రామాణీకరణను కొనసాగించండి. మూల ప్రిఫిక్స్ ఖాతా కాదు, కాబట్టి నెట్‌వర్క్ విధానాన్ని దాటడం అంటే సేవ కాల్ చేసేవారిని నమ్మాలని కాదు.