ไคลเอนต์ VPN กับ LAN: เมื่อใดควรใช้โซนแยก

การวางอินเทอร์เฟซของทันเนลไว้ในโซน LAN เป็นทางลัดสู่ VPN ที่ใช้งานได้ และมักเป็นการตั้งค่าเริ่มต้นที่ผิด มันให้ความไว้วางใจแก่ไคลเอนต์ระยะไกลเท่ากับที่ LAN แบบใช้สายมี ซึ่งงานนี้แทบไม่ต้องใช้ โซนแยกมีต้นทุนเป็นกฎสองสามข้อและทำให้ขอบเขตมองเห็นได้ การตัดสินใจไม่ใช่ว่าโซนดีกว่าหรือไม่ แต่เป็นว่าเงื่อนไขสามข้อใดใช้กับเครือข่ายของคุณ

ชื่อโซนไม่ได้เข้ารหัสสิ่งใดและไม่ได้ยืนยันตัวตนผู้ใช้ มันเพียงจัดกลุ่มอินเทอร์เฟซให้กับแบบจำลองนโยบายของไฟร์วอลล์

สิ่งที่การเป็นสมาชิกโซนควบคุมจริง ๆ

โซนจัดกลุ่มอินเทอร์เฟซหรือทราฟฟิกภายใต้แบบจำลองของไฟร์วอลล์ จากนั้นการตั้งค่าอินพุต เอาต์พุต และการส่งต่อของโซนก็ควบคุมบทบาทที่แตกต่างกัน อินพุตคือทราฟฟิกที่ไปยังเราเตอร์เอง ส่วนการส่งต่อคือทราฟฟิกที่ผ่านมันไปยังโฮสต์อื่น เอกสารโซนของ OpenWrt ถือว่าอินพุต เอาต์พุต และการส่งต่อเป็นค่าที่แยกจากกันด้วยเหตุผลนี้เอง

การอนุญาตจากโซน VPN ไปยังโซน LAN ไม่ใช่การอนุญาตย้อนกลับโดยอัตโนมัติ กฎการส่งต่อมีทิศทาง และกฎที่อนุญาตทราฟฟิกจากไคลเอนต์ไปยังเซิร์ฟเวอร์ไม่ได้อนุญาตเซสชันจากเซิร์ฟเวอร์ไปยังไคลเอนต์ ไคลเอนต์ที่เปิดการเชื่อมต่อไปยังเซิร์ฟเวอร์ได้ ไม่ใช่ไคลเอนต์ที่เซิร์ฟเวอร์จะเปิดการเชื่อมต่อกลับมาได้

ความแตกต่างนี้คือเหตุผลที่โซนแยกมีประโยชน์ คุณระบุทิศทางและบทบาทแต่ละอย่างได้อย่างชัดเจน เขียนทิศทางกำกับไว้ข้างกฎทุกข้อ

การตัดสินใจข้อแรก: อินพุต การส่งต่อ หรือทั้งสองอย่าง

หากไคลเอนต์ระยะไกลต้องการ DNS จากเราเตอร์ ให้อนุญาตอินพุตเฉพาะบริการนั้น หากพวกเขาต้องเข้าถึงเซิร์ฟเวอร์ไฟล์ ให้อนุญาตการส่งต่อไปยังปลายทางนั้น การออกแบบ VPN ส่วนใหญ่ต้องใช้ทั้งสองอย่าง แต่สำหรับบริการที่ต่างกัน

การเข้าถึงอินพุตแบบกว้างไปยังบริการภายในทุกอย่างแทบไม่จำเป็นเลย จัดการดูแลเราเตอร์เป็นคนละเรื่องกับการเข้าถึงแอปพลิเคชัน หากเราเตอร์ต้องตอบ DNS เท่านั้น ให้เขียนการอนุญาตเพียงข้อเดียวแล้วปิดส่วนที่เหลือ

การตัดสินใจข้อสอง: ทรัพยากรที่ไคลเอนต์ระยะไกลต้องการ

ระบุช่วงไคลเอนต์ ปลายทาง และบริการที่ VPN ควรให้บริการก่อนเขียนกฎ รายการปลายทางมีประโยชน์กว่าป้ายกำกับความไว้วางใจ เพราะอยู่รอดข้ามการย้ายไฟร์วอลล์

แยกอินเทอร์เฟซสำหรับจัดการออกจากการเข้าถึงแอปพลิเคชันทั่วไป ไคลเอนต์ระยะไกลที่เข้าถึงวิกิไม่ได้หมายความว่าต้องการหน้าผู้ดูแลของเราเตอร์หรือคอนโซลไฮเปอร์ไวเซอร์

หากปลายทางที่อนุญาตส่งต่อต่อไปได้ ขอบเขตของโซนก็สิ้นสุดที่ไฟร์วอลล์ ไม่ใช่ที่สิ่งที่ปลายทางทำต่อไป

การตัดสินใจข้อสาม: คุณจะพิสูจน์ขอบเขตอย่างไร

ทดสอบการไหลที่อนุญาตและอีกเส้นทางที่จงใจปฏิเสธหลังทุกการเปลี่ยนแปลง การพิสูจน์ว่าเว็บไซต์หนึ่งโหลดได้ไม่ได้เผยการอนุญาตกว้างที่ไม่ได้ตั้งใจ ทดสอบจากช่วงที่อยู่ของไคลเอนต์ VPN ไม่ใช่จาก LAN และรวมทิศทางที่คุณคาดว่าจะล้มเหลว บันทึกผลทั้งสองไว้ข้างกฎ

รักษาการเข้าถึงเพื่อกู้คืนของเกตเวย์ไว้ก่อนแก้ไขนโยบายโซนระยะไกล ใช้การกำหนดค่าที่จัดการอย่างถาวรแทนการแก้ไขขณะใช้งาน มิฉะนั้นการรีบูตครั้งถัดไปจะคืนความไว้วางใจเดิม สำเนาการกำหนดค่าก่อนหน้าเก็บไว้นอกอุปกรณ์คือการย้อนกลับที่ถูกที่สุดที่คุณจะมี

เมื่อเครือข่ายเติบโต ให้บันทึกสมาชิกภาพและวัตถุประสงค์ของกฎ อินเทอร์เฟซที่เพิ่งเชื่อมต่อไม่ควรสืบทอดสิทธิพิเศษเพียงเพราะมีคนตั้งชื่อโซนที่สะดวกให้