Mga kliyenteng VPN at ang LAN: kailan gagamit ng hiwalay na sona

Ang paglalagay ng interface ng tunnel sa sona ng LAN ang pinakamaikling landas patungo sa gumaganang VPN, at karaniwang ito ang maling default. Binibigyan nito ang malayong kliyente ng parehong pagtitiwala ng may-kawad na LAN, na bihirang kailanganin ng gawain. Ang hiwalay na sona ay may halagang ilang patakaran at ginagawang nakikita ang hangganan. Ang desisyon ay hindi kung mas mabuti ang mga sona; ito ay kung aling tatlong kondisyon ang naaangkop sa iyong network.

Hindi nire-encrypt ng pangalan ng sona ang anuman at hindi nagpapatunay ng user. Pinagsasama-sama lamang nito ang mga interface para sa modelo ng patakaran ng firewall.

Ano ang talagang kinokontrol ng pagiging miyembro ng sona

Pinagsasama-sama ng sona ang mga interface o trapiko sa modelo ng firewall. Pagkatapos, ang mga setting ng input, output at forward nito ay namamahala sa iba't ibang tungkulin. Ang input ay trapikong papunta sa router mismo; ang forward ay trapikong dumadaan dito patungo sa ibang host. Ang dokumentasyon ng OpenWrt tungkol sa mga sona ay tinatrato ang input, output at forward bilang magkakahiwalay na setting dahil mismo sa kadahilanang ito.

Ang pahintulot mula sa sona ng VPN patungo sa sona ng LAN ay hindi awtomatikong pabaliktad na pahintulot. May direksyon ang mga patakaran ng forward, at ang patakarang nagpapahintulot ng trapiko mula kliyente patungo sa server ay hindi nagpapahintulot ng session mula server patungo sa kliyente. Ang kliyenteng makakapagbukas ng koneksyon patungo sa server ay hindi kliyenteng mapagbubuksan ng server ng koneksyon pabalik.

Ang pagkakaibang ito ang dahilan kung bakit kapaki-pakinabang ang hiwalay na sona: maaari mong sabihin nang malinaw ang bawat direksyon at bawat tungkulin. Isulat ang direksyon sa tabi ng bawat patakaran.

Unang desisyon: input, forward, o pareho

Kung kailangan ng malalayong kliyente ang DNS mula sa router, payagan ang input para sa serbisyong iyon lamang. Kung kailangan nilang maabot ang isang file server, payagan ang forward patungo sa destinasyong iyon. Kailangan ng karamihan ng disenyo ng VPN ang pareho, ngunit para sa magkaibang serbisyo.

Ang malawak na pag-access sa input sa bawat lokal na serbisyo ay halos hindi kailanman kailangan. Ituring ang pamamahala ng router bilang hiwalay na desisyon sa pag-access sa mga aplikasyon. Kung kailangan lamang ng router na tumugon sa DNS, isulat ang nag-iisang pahintulot na iyon at iwanang sarado ang iba.

Ikalawang desisyon: anong mga mapagkukunan ang kailangan ng malalayong kliyente

Ilista ang mga saklaw ng kliyente, ang mga destinasyon at ang mga serbisyong dapat ibigay ng VPN bago magsulat ng patakaran. Ang listahan ng destinasyon ay mas kapaki-pakinabang kaysa label ng pagtitiwala, dahil nakakalampas ito sa migrasyon ng firewall.

Panatilihing hiwalay ang mga interface ng pamamahala sa ordinaryong pag-access sa aplikasyon. Ang malayong kliyenteng nakakaabot sa isang wiki ay hindi dahil doon kailangan ang admin page ng router o console ng hypervisor.

Kung ang pinahintulutang destinasyon ay makakapag-forward pa, humihinto ang hangganan ng sona sa firewall, hindi sa ginagawa ng destinasyon pagkatapos.

Ikatlong desisyon: paano mo patutunayan ang hangganan

Subukan ang pinahintulutang daloy at isang sadyang tinanggihan pagkatapos ng bawat pagbabago. Ang patunay na naglo-load ang isang website ay hindi naghahayag ng hindi sinasadyang malawak na pahintulot. Subukan mula sa saklaw ng address ng kliyente ng VPN, hindi mula sa LAN, at isama ang direksyong inaasahan mong mabibigo. Itala ang parehong resulta sa tabi ng patakaran.

Panatilihin ang pag-access sa pagbawi ng gateway bago baguhin ang patakaran ng malayong sona. Gamitin ang paulit-ulit na pinamamahalaang configuration sa halip na mga pagbabago habang tumatakbo, kung hindi ibabalik ng susunod na reboot ang lumang pagtitiwala. Ang kopya ng dating configuration, na itinago sa labas ng device, ang pinakamurang rollback na makukuha mo.

Habang lumalaki ang network, idokumento ang pagiging miyembro at layunin ng mga patakaran. Ang bagong nakakonektang interface ay hindi dapat mamana ng mga pribilehiyo dahil lamang binigyan ito ng isang tao ng maginhawang pangalan ng sona.