pfSense'te statik tünel adresleri: tercih mi, rezervasyon mu?

İki tasarım kâğıt üzerinde benzer görünür ve bir kural onlara bağlı olduğunda çok farklı davranır. Biri bir istemci geçersiz kılmasına adres yazar ve adrese kimlik olarak güvenir. Diğeri dinamik kabulü tamamen kapatır, böylece bir uç nokta ya benzersiz bir atama alır ya da bağlanmaz. Yalnızca ikincisi bir adresi savunabileceğiniz bir politika girdisine dönüştürür ve farkı tek bir güvenlik duvarı kuralı yazmadan önce anlamakta fayda var.

Bir geçersiz kılma adresi gerçekte ne vaat eder

İstemciye özgü bir geçersiz kılma, istemci başına seçenekler taşır; bunların arasında tercih edilen bir tünel adresi de vardır. Netgate bu adresi rezervasyon değil tercih olarak tanımlar, yani dinamik havuz adresi başkası için vermez.

Bu genellikle sorun değildir. Çakışma nadirdir ve istemci normalde istediğini alır; bu kolaylık için yeterlidir ve yetkilendirme için yeterli değildir. Kolaylık ve yetkilendirme farklı gereksinimlerdir ve bir çakışmadan yalnızca biri sağ çıkar.

Alt ağ topolojisinde alan, istemci adresini sunucu ağının maskesiyle birlikte alır, bu yüzden bir 10.90.0.0/24 tüneli içindeki adres 10.90.0.10/24 olarak yazılır.

Bunların hiçbiri numarayı rezerve etmez. Geçersiz kılması eşleşmeyen bir istemci veya yinelenen bir oturum havuzun başka bir yerinde sonlanabilir ve adrese dayanan bir kural o zaman orada olmayan birini tanımlar.

Dinamik yolu kapsamı belirlenmiş bir varsayılanla kapatın

Alternatif, yalnızca statik çalışan bir sunucudur: kabul edilen her uç noktanın kendi kimliği ve kendi benzersiz adresi vardır ve başka hiçbir şey içeri girmez.

Uygulamak, o tek sunucuya kapsamlanmış ve bağlantı engellemesi açık bir DEFAULT geçersiz kılması anlamına gelir. Eşleşen geçersiz kılması olmayan bir istemci artık olağan dinamik kabule geri dönemez. Tercihi kapalı bir kümeye dönüştüren şey tam olarak o tek satırdır.

Kapsam önemlidir. Cihazdaki her VPN örneğine uygulanan varsayılan bir geçersiz kılma, ilgisiz tünelleri kilitler ve bu arıza politika kararından çok bozuk bir hizmet gibi görünür. Onu kabul modelini değiştirdiğiniz tek sunucuya bağlayın. Ardından kapsamı değişiklik kaydına not edin, çünkü sonraki kişi hangi tünele ait olduğunu hatırlamayacaktır.

Ardından izin verilen kümenin tamamını denetleyin. Varsayılan engelleme, adressiz bırakılmış adlandırılmış bir geçersiz kılmayı düzeltmez ve o uç nokta, nedeni hakkında belirgin bir ipucu olmadan bağlanamaz.

Sunucunun gerçekten kullandığı kimlikle eşleştirin

Bir geçersiz kılma bir şeyle eşleşir. Sertifikaların ortak adlarını eşleştiren bir sunucuda, geçersiz kılma adı o ortak ad olmalıdır, kişinin görünen adı değil. Onu hesap listesinden değil sertifikadan kopyalayın.

Kullanıcı adını ortak ad olarak kullanacak şekilde yapılandırılmış bir sunucu tamamen farklı bir anahtarla eşleştirir ve sertifikaya göre adlandırılmış bir geçersiz kılma hiçbir zaman tetiklenmez. Ayarı, hesap listesinin gösterdiğinden çıkarmak yerine okuyun.

Dağıtımın gerektirdiği ek kimlik doğrulama faktörlerini koruyun. Kapalı bir adres modeli kimin bağlanabileceğini ve hangi adresi alacağını değiştirir; sertifika denetiminin veya ikinci faktörün yerini almaz.

Erişim kurallarını harita doğru olduktan sonra yazın

Kimlikten adrese harita kapandığında, kurallar adreslere insanmış gibi davranmadan başvurabilir. Bir kişinin uç noktalarını gruplayan bir takma ad belirli bir hizmete ulaşabilirken başka bir takma ad başka bir şeye ulaşır. Takma ad incelenebilir nesne olur ve adres onun içinde bir uygulama ayrıntısı haline gelir.

Hedefleri ve bağlantı noktalarını açık tutun. Yerel ağın tamamına tüm tünel havuzundan izin vermek, bu alıştırmanın değiştirmeyi amaçladığı tasarımın ta kendisidir.

Yüzen, grup ve arayüz kurallarını gerçek değerlendirme sıralarında okuyun, çünkü önceki geniş bir geçiş sonraki dar bir geçişi geçersiz kılar. İstemciden istemciye iç yönlendirmeyi kapatmak, eşler arası trafiği bu kuralların incelendiği sınırda tutar. Yalnızca kâğıt üzerinde var olan bir kural yaptırım değildir.

Olumsuz durumları test edin

Dört yeni bağlantı deneyin: adlandırılmış bir uç nokta, hiç geçersiz kılması olmayan bir uç nokta, erişilebilir olması gereken bir hizmet ve olmaması gereken bir hizmet. Listede olmayan uç nokta önemli durumdur, çünkü tasarım tam da onu durdurmak için vardır. Bağlanırsa, varsayılan engelleme işini yapmıyor demektir.

IPv6'yı ayrıca kontrol edin, çünkü bir IPv4 adres politikası ikinci bir yığın hakkında hiçbir şey söylemez. Ardından uygulamanın kullanıcıyı hâlâ yetkilendirdiğini doğrulayın, çünkü tünel adresi bir ağ gerçeğidir ve klavyede kimin olduğunun kanıtı değildir. Her iki kontrol de kabul notuna aittir.

Son olarak geçişi planlayın. Yeni geçersiz kılmalar ve dar kurallar, hâlihazırda kurulmuş oturumları geriye dönük değiştirmez, bu yüzden mevcut durumların süresi dolmalı veya bilinçli olarak temizlenmelidir.