VPN istemcileri ve LAN: ayrı bölge ne zaman kullanılmalı

Tünel arayüzünü LAN bölgesine koymak çalışan bir VPN'e giden en kısa yoldur ve genellikle yanlış varsayılan ayardır. Uzak istemciye kablolu LAN'ın sahip olduğu güvenin aynısını verir, oysa görev bunu nadiren gerektirir. Ayrı bir bölge birkaç kurala mal olur ve sınırı görünür kılar. Karar bölgelerin daha iyi olup olmadığı değil; ağınız için hangi üç koşulun geçerli olduğudur.

Bölge adı hiçbir şeyi şifrelemez ve kullanıcıyı doğrulamaz. Yalnızca güvenlik duvarının politika modeli için arayüzleri gruplar.

Bölge üyeliği gerçekte neyi denetler

Bir bölge, güvenlik duvarı modelinde arayüzleri veya trafiği gruplar. Ardından giriş, çıkış ve iletme ayarları farklı rolleri yönetir. Giriş, yönlendiricinin kendisine giden trafiktir; iletme ise onun üzerinden başka bir konağa giden trafiktir. OpenWrt'nin bölgeler belgesi tam da bu nedenle giriş, çıkış ve iletmeyi ayrı ayarlar olarak ele alır.

VPN bölgesinden LAN bölgesine verilen izin otomatik olarak ters izin değildir. İletme kuralları yönlüdür ve istemciden sunucuya trafiğe izin veren bir kural, sunucudan istemciye oturumlara izin vermez. Sunucuya bağlantı açabilen istemci, sunucunun geri bağlantı açabileceği istemci değildir.

Bu ayrım, ayrı bölgenin neden yararlı olduğunun nedenidir: her yönü ve her rolü açıkça belirtebilirsiniz. Yönü her kuralın yanına yazın.

Birinci karar: giriş, iletme veya ikisi

Uzak istemciler yönlendiriciden DNS'ye ihtiyaç duyuyorsa, girişe yalnızca o hizmet için izin verin. Bir dosya sunucusuna ulaşmaları gerekiyorsa, o hedefe iletmeye izin verin. Çoğu VPN tasarımı ikisini de gerektirir, ancak farklı hizmetler için.

Her yerel hizmete geniş giriş erişimi neredeyse hiç gerekli değildir. Yönlendirici yönetimini uygulama erişiminden ayrı bir karar olarak ele alın. Yönlendiricinin yalnızca DNS'e yanıt vermesi gerekiyorsa, o tek izni yazın ve gerisini kapalı bırakın.

İkinci karar: uzak istemcilerin hangi kaynaklara ihtiyacı var

Kuralları yazmadan önce istemci aralıklarını, hedefleri ve VPN'in sağlaması gereken hizmetleri listeleyin. Hedef listesi bir güven etiketinden daha yararlıdır, çünkü güvenlik duvarı geçişini atlatır.

Yönetim arayüzlerini olağan uygulama erişiminden ayrı tutun. Bir vikiye ulaşan uzak istemci bu nedenle yönlendiricinin yönetici sayfasına veya hipervizör konsoluna ihtiyaç duymaz.

İzin verilen hedef daha ileri iletebiliyorsa, bölge sınırı güvenlik duvarında biter, hedefin sonra ne yaptığında değil.

Üçüncü karar: sınırı nasıl kanıtlayacaksınız

Her değişiklikten sonra izin verilen bir akışı ve bilerek reddedilen bir akışı test edin. Bir web sitesinin yüklendiğini kanıtlamak, istemsiz geniş bir izni ortaya çıkarmaz. Testi VPN istemcisinin adres aralığından yapın, LAN'dan değil, ve başarısız olmasını beklediğiniz yönü de ekleyin. İki sonucu da kuralın yanına kaydedin.

Uzak bölge politikasını değiştirmeden önce ağ geçidinin kurtarma erişimini koruyun. Çalışma zamanı düzenlemeleri yerine kalıcı yönetilen yapılandırmayı kullanın, yoksa sonraki yeniden başlatma eski güveni geri getirir. Önceki yapılandırmanın cihaz dışında saklanan bir kopyası, sahip olacağınız en ucuz geri almaktır.

Ağ büyüdükçe üyeliği ve kuralların amacını belgeleyin. Yeni bağlanan bir arayüz, yalnızca biri ona uygun bir bölge adı verdi diye ayrıcalıkları devralmamalıdır.