Dalawang grupo ng kliyente, isang server: saan ipapatupad ang patakaran

Ang paglalagay ng dalawang grupo ng kliyente sa magkaibang subnet ay mukhang paghihiwalay, at hindi ito. Inilalarawan ng mga address kung saan tila galing ang isang packet, habang ang pahintulot ay desisyong ginagawa ng nagpapasa nito. Ang tanong na iyon ay sinasagot ng kompigurasyon at hindi ng mask, kaya magpasya kung aling bahagi ang nagpapasa ng trapiko sa pagitan ng mga kapantay bago ka magsulat ng anumang panuntunan.

Ang subnet ay isang label, hindi panuntunan

Ang pagbibigay ng isang pool sa bawat grupo ay nagbibigay sa iyo ng madaling basahing mga address at wala nang iba. Ang kliyenteng tumatanggap ng karagdagang ruta ay nakakuha ng maabot, at ang maabot ay hindi pahintulot. Ang pahintulot na magsalita ay nasa desisyon ng pagpapasa, na maaaring nasa daemon o sa kernel depende sa kung paano naka-configure ang server.

Ang pagmamay-ari ng address ang nagpapaging-gana sa isang prefix bilang tagapili ng grupo. Bawat awtentikadong pagkakakilanlan ay dapat tumugma sa isang mahuhulaang address o saklaw, at nabibigo ang pagmamapa kapag maraming device ang nagbabahagi ng isang kredensyal at isang alokasyon. Ayusin ang pagkakakilanlan at sabay-sabay na paggamit bago umasa sa prefix ng pinagmulan, dahil ang patakarang nanghuhula kung aling makina ang tumatawag ay nagpapahintulot sa mali sa pinakamasamang sandali.

Piliin ang landas na nagdadala ng trapiko sa pagitan ng mga kapantay

Kapag ipinapasa ng daemon ang mga packet ng kapantay sa loob ng sarili nitong proseso, hindi kailanman umaabot ang mga packet na iyon sa hook ng pagpapasa ng host, kaya hindi sila makikita ng panuntunan sa kernel. I-disable ang panloob na pagpapasa at ang kernel ang magiging punto ng pagpapasa, kung saan nalalapat ang mga ordinaryong panuntunan sa pagpapasa.

# peer forwarding inside the daemon: enforce with per-group policy instead of FORWARD rules
client-to-client
# kernel forwarding path: remove the line above, then filter in the forward chain

Ang mga offloaded na channel ng data at mga server na pinamamahalaan ng produkto ay naglalathala ng sarili nilang mga modelo ng pagpapatupad, kaya tiyakin kung alin ang pinapatakbo mo sa halip na ipalagay ang ugali ng komunidad. Ang pagkabigo na dapat iwasan ay isang panuntunang mukhang tama sa pagsusuri at hindi kailanman kinokonsulta sa oras ng pagtakbo.

Isulat ang matrix bago ang mga panuntunan

Ang maikling matrix ay mas madaling suriin kaysa set ng mga panuntunan, at ito ang kontratang dapat tuparin ng implementasyon: pinapayagan ang mga kapantay sa parehong grupo, tinatanggihan ang mga kapantay sa magkaibang grupo, pinapayagan ang dalawang grupo sa isang pinangalanang pinagsasaluhang serbisyo, tinatanggihan ang lahat ng iba pa. Isulat ang apat na linyang iyon bago mo buksan ang editor ng firewall. Ang tagasuring hindi nagbabasa ng sintaks ng panuntunan ay maaari pa ring suriin ang matrix. Pagkatapos, ang implementasyon ay kailangan lang tumugma sa mga linya.

Paghiwalayin ang tatlong klase ng destinasyon habang isinusulat ito. Ang serbisyo sa host ng VPN ay lokal na input, ang ibang kliyente ay transit ng kapantay, at ang makinang nasa likod ng gateway ay ibang landas ng pagpapasa. Ang isang bukas-palad na panuntunan ay maaaring magbigay ng tatlo nang hindi sinasadya, at ganoon nagiging flat na network na may dagdag na hakbang ang patakaran ng grupo. Isulat ang klase sa tabi ng bawat hilera upang manatili ang layunin sa susunod na pag-edit.

Ilagay ang mga panuntunan sa lugar kung saan sila nananatili

Idagdag ang mga desisyon sa parehong lugar kung saan pinapanatili ang iba pang bahagi ng firewall, bago ang anumang pinapayagang panuntunan na kung hindi ay lulunukin sila. Ang pagkakasunod-sunod ng panuntunan ay bahagi ng patakaran, at ang tamang panuntunang inilagay pagkatapos ng malawak na pagtanggap ay walang ipinapatupad. Itala ang mga numero ng panuntunan bago at pagkatapos ng pagbabago. Ang patakarang nasa editor ngunit wala sa tumatakbong set ng panuntunan ay plano, hindi kontrol.

Magpasya kung ano ang mangyayari sa mga daloy na umiiral na kapag nagbago ang patakaran, dahil ang sesyong binuksan bago ang pagbabago ay maaaring magpatuloy pagkatapos. Kung ang umaalis na miyembro ay dapat mawalan ng access agad, kailangan ng set ng panuntunan ng paraan upang wakasan ang estadong iyon sa halip na hintayin na kusang magsara ang koneksyon.

Gawing permanente ang mga panuntunan sa pamamagitan ng mekanismong may-ari ng iba pang bahagi ng firewall, at itala ang matrix sa tabi ng mga ito. Ang hindi naitalang patakaran ay muling hinahango sa memorya sa susunod na insidente, kadalasan ng isang taong nagmamadali.

Patunayan ito mula sa magkabilang panig

Subukan ang maabot sa loob ng parehong grupo, ang pagkabigo sa magkaibang grupo at ang pinagsasaluhang serbisyo mula sa isang kliyente sa bawat grupo. Ang isang pagsubok mula sa isang kliyente ay nagpapatunay ng kalahati ng matrix, at ang kalahating iniiwan ay kadalasan ang mali. Ulitin ang direksyon ng pagtanggi nang dalawang beses, dahil ang naka-cache na sesyon ay maaaring magtago ng pagkakamali sa pagpapatupad. Itala kung aling pares ang sinubukan mo upang hindi ito ulitin ng susunod na tao.

Ulitin ang pagsusuri sa IPv6 kung dinadala ito ng tunnel, at panatilihin ang ordinaryong awtentikasyon ng aplikasyon. Ang prefix ng pinagmulan ay hindi account, kaya ang pagpasa sa patakaran ng network ay hindi nangangahulugang dapat magtiwala ang serbisyo sa tumatawag.