Статичні адреси тунелю в pfSense: уподобання чи резервування?

Два рішення виглядають схоже на папері й поводяться зовсім по-різному, коли від них залежить правило. Одне вписує адресу в клієнтське перевизначення й довіряє адресі як ідентичності. Інше повністю закриває динамічний допуск, тож кінцева точка або отримує унікальне призначення, або не підключається. Лише друге перетворює адресу на елемент політики, який можна захистити, і різницю варто зрозуміти, перш ніж писати хоч одне правило міжмережевого екрана.

Що насправді обіцяє адреса перевизначення

Клієнтське перевизначення містить параметри для окремого клієнта, зокрема бажану адресу тунелю. Netgate описує цю адресу як уподобання, а не як резервування, тобто динамічний пул не віддає адресу нікому іншому.

Зазвичай це нормально. Колізія рідка, і клієнт зазвичай отримує запитане, чого достатньо для зручності й недостатньо для авторизації. Зручність і авторизація — різні вимоги, і лише одна з них переживає колізію.

За топології підмережі поле приймає адресу клієнта разом із маскою мережі сервера, тому адреса всередині тунелю 10.90.0.0/24 записується як 10.90.0.10/24.

Ніщо з цього не резервує номер. Клієнт, чиє перевизначення не збіглося, або дубльований сеанс може опинитися в іншому місці пулу, і правило, прив'язане до адреси, тоді описує того, кого там немає.

Закрийте динамічний шлях обмеженим значенням за замовчуванням

Альтернатива — сервер лише зі статичними адресами: кожна допущена кінцева точка має власну ідентичність і власну унікальну адресу, і більше нічого не проходить.

Реалізація означає перевизначення DEFAULT, обмежене цим одним сервером, із увімкненим блокуванням з'єднань. Клієнт без відповідного перевизначення тоді не може повернутися до звичайного динамічного допуску. Саме цей один рядок перетворює уподобання на закриту множину.

Область застосування важлива. Перевизначення за замовчуванням, застосоване до кожного екземпляра VPN на пристрої, заблокує не пов'язані тунелі, і ця відмова виглядає як зламана служба, а не як рішення політики. Прив'яжіть його до того єдиного сервера, чию модель допуску ви змінюєте. Потім зазначте область у журналі змін, бо наступна людина не згадає, до якого тунелю вона належить.

Після цього перевірте всю дозволену множину. Блокування за замовчуванням не виправляє іменоване перевизначення, залишене без адреси, і ця кінцева точка просто не підключиться без очевидної підказки про причину.

Зіставляйте з тією ідентичністю, яку сервер справді використовує

Перевизначення з чимось зіставляється. На сервері, що зіставляє спільні імена сертифікатів, ім'я перевизначення має бути цим спільним ім'ям, а не відображуваним ім'ям людини. Скопіюйте його із сертифіката, а не зі списку облікових записів.

Сервер, налаштований використовувати ім'я користувача як спільне ім'я, зіставляє за зовсім іншим ключем, і перевизначення, назване за сертифікатом, ніколи не спрацює. Прочитайте налаштування, а не виводьте його з того, що показує список облікових записів.

Збережіть додаткові фактори автентифікації, яких вимагає розгортання. Закрита модель адрес змінює, хто може підключатися і яку адресу отримує; вона не замінює перевірку сертифіката чи другий фактор.

Напишіть правила доступу після того, як карта правильна

Коли карту відповідності ідентичності й адреси закрито, правила можуть посилатися на адреси, не видаючи їх за людей. Псевдонім, що групує кінцеві точки однієї людини, може досягти конкретної служби, тоді як інший псевдонім досягає чогось іншого. Псевдонім стає об'єктом перегляду, а адреса — деталлю реалізації всередині нього.

Тримайте призначення й порти явними. Дозвіл усієї локальної мережі з усього пулу тунелів — це саме те рішення, яке мала замінити ця вправа.

Читайте плаваючі, групові та інтерфейсні правила в їхньому реальному порядку обчислення, бо раніший широкий прохід скасовує пізніший вузький. Вимкнення внутрішнього пересилання між клієнтами утримує трафік між вузлами на межі, де ці правила переглядаються. Правило, що існує лише на папері, не є застосуванням.

Перевірте негативні випадки

Випробуйте чотири нові з'єднання: іменовану кінцеву точку, точку взагалі без перевизначення, службу, яка має бути доступною, і службу, яка не має. Не вказана в списку кінцева точка — важливий випадок, бо саме її рішення й створене зупинити. Якщо вона підключається, блокування за замовчуванням не виконує своєї роботи.

Перевірте IPv6 окремо, оскільки політика адрес IPv4 нічого не каже про другий стек. Потім підтвердьте, що застосунок і далі авторизує користувача, бо адреса тунелю — це мережевий факт, а не доказ того, хто за клавіатурою. Обидві перевірки мають бути в приймальній записці.

Нарешті, сплануйте міграцію. Нові перевизначення й вузькі правила не змінюють заднім числом уже встановлені сеанси, тому наявні стани мають завершитися або бути очищені навмисно.