İki istemci grubu, tek sunucu: politikayı nerede uygulamalı

İki istemci grubunu farklı alt ağlara koymak izolasyon gibi görünür ve öyle değildir. Adresler bir paketin görünüşte nereden geldiğini tanımlar, izin ise onu yönlendirenin verdiği karardır. Bu soruyu maske değil yapılandırma yanıtlar, bu yüzden herhangi bir kural yazmadan önce eşler arası trafiği hangi bileşenin yönlendirdiğine karar verin.

Alt ağ bir etikettir, kural değil

Her gruba bir havuz atamak size okunabilir adresler verir, başka bir şey vermez. Ek bir rotayı kabul eden istemci erişilebilirlik kazanmıştır ve erişilebilirlik yetkilendirme değildir. Konuşma izni, sunucunun nasıl yapılandırıldığına bağlı olarak arka planda veya çekirdekte yaşayabilen yönlendirme kararında bulunur.

Adres sahipliği, bir öneki grup seçici olarak kullanılabilir kılan şeydir. Her kimliği doğrulanmış kimlik öngörülebilir bir adrese veya aralığa eşlenmelidir ve birkaç cihaz tek bir kimlik bilgisini ve tek bir atamayı paylaştığı anda bu eşleme bozulur. Kaynak önekine güvenmeden önce kimlik ve eşzamanlılık konularını çözün, çünkü hangi makinenin aradığını tahmin eden bir politika en kötü anda yanlış olana yetki verir.

Eşler arası trafiği taşıyan yolu seçin

Arka plan eş paketlerini kendi süreci içinde yönlendirdiğinde, bu paketler hiçbir zaman ana makinenin yönlendirme kancasına ulaşmaz, bu yüzden bir çekirdek kuralı onları göremez. Bu iç yönlendirmeyi kapatın, çekirdek normal yönlendirme kurallarının geçerli olduğu yönlendirme noktası olur.

# peer forwarding inside the daemon: enforce with per-group policy instead of FORWARD rules
client-to-client
# kernel forwarding path: remove the line above, then filter in the forward chain

Boşaltılmış veri kanalları ve ürün tarafından yönetilen sunucular kendi uygulama modellerini yayımlar, bu yüzden topluluk davranışını varsaymak yerine hangisini çalıştırdığınızı doğrulayın. Kaçınmaya değer hata, incelemede doğru görünen ve çalışma zamanında hiçbir zaman sorulmayan bir kuraldır.

Kurallardan önce matrisi yazın

Kısa bir matris, kural kümesinden daha kolay incelenir ve uygulamanın karşılaması gereken sözleşmedir: aynı gruptaki eşlere izin, gruplar arası eşlere ret, her iki gruba adlandırılmış tek bir ortak hizmete izin, diğer her şeye ret. Güvenlik duvarı düzenleyicisini açmadan önce bu dört satırı yazın. Kural sözdizimini okumayan bir gözden geçiren bile matrisi kontrol edebilir. Sonra uygulamanın yalnızca satırlara uyması gerekir.

Yazarken üç hedef sınıfını ayrı tutun. VPN ana makinesindeki hizmet yerel girdidir, başka bir istemci eş geçişidir ve ağ geçidinin arkasındaki makine farklı bir yönlendirme yoludur. Tek bir cömert kural yanlışlıkla üçünü de verebilir ve grup politikası böylece ek adımlarla düz bir ağa dönüşür. Niyetin bir sonraki düzenlemede de kalması için sınıfı her satırın yanına yazın.

Kuralları hayatta kaldıkları yere koyun

Kararları güvenlik duvarının geri kalanının bakımının yapıldığı yere, onları yutacak herhangi bir izin verici kuraldan önce ekleyin. Kural sırası politikanın bir parçasıdır ve geniş bir izinden sonra konan doğru kural hiçbir şey uygulamaz. Değişiklikten önce ve sonra kural numaralarını not edin. Düzenleyicide var olan ama çalışan kural kümesinde olmayan politika bir plandır, kontrol değil.

Politika değiştiğinde zaten var olan akışlara ne olacağına karar verin, çünkü değişiklikten önce açılan bir oturum sonrasında devam edebilir. Ayrılan üyenin erişimi hemen kaybetmesi gerekiyorsa, kural kümesinin bağlantının kendi kendine kapanmasını beklemek yerine o durumu sonlandırmanın bir yoluna ihtiyacı vardır.

Kuralları güvenlik duvarının geri kalanına sahip olan mekanizma aracılığıyla kalıcı hale getirin ve matrisi yanlarına kaydedin. Kaydedilmemiş bir politika bir sonraki olay sırasında bellekten yeniden türetilir, genellikle acele eden biri tarafından.

İki taraftan da kanıtlayın

Aynı grup içinde erişilebilirliği, gruplar arası başarısızlığı ve ortak hizmeti her gruptan bir istemciyle test edin. Tek bir istemciden yapılan tek test matrisin yarısını kanıtlar ve dışarıda bıraktığı yarı genellikle yanlış olan yarıdır. Ret yönünü iki kez tekrarlayın, çünkü önbelleğe alınmış bir oturum uygulama hatasını gizleyebilir. Hangi çifti test ettiğinizi not edin, böylece sonraki kişi tekrarlamaz.

Tünel IPv6 taşıyorsa kontrolü aynı protokolde tekrarlayın ve olağan uygulama kimlik doğrulamasını koruyun. Kaynak öneki bir hesap değildir, bu yüzden ağ politikasını geçmek bir hizmetin arayana güvenmesi gerektiği anlamına gelmez.