pfSense-da statik tunnel manzillari: afzallik yoki rezervatsiya?

Ikki dizayn qog'ozda o'xshash ko'rinadi va qoida ularga bog'liq bo'lganda juda boshqacha tutadi. Biri mijoz ustidan yozishga manzil yozadi va manzilga shaxsiyat sifatida ishonadi. Ikkinchisi dinamik qabulni butunlay yopadi, shuning uchun oxirgi nuqta yo noyob tayinlov oladi, yo ulanmaydi. Faqat ikkinchisi manzilni himoya qila oladigan siyosat kiritmasiga aylantiradi va farqni bitta firewall qoidasi yozishdan oldin tushunishga arziydi.

Ustidan yozish manzili aslida nima va'da qiladi

Mijozga xos ustidan yozish mijoz bo'yicha parametrlarni olib yuradi, jumladan afzal tunnel manzili. Netgate bu manzilni rezervatsiya emas, afzallik deb ta'riflaydi, ya'ni dinamik hovuz manzilni boshqasiga bermaydi.

Bu odatda muammo emas. To'qnashuv kamdan-kam bo'ladi va mijoz odatda so'raganini oladi; bu qulaylik uchun yetarli va avtorizatsiya uchun yetarli emas. Qulaylik va avtorizatsiya turli talablar va to'qnashuvdan faqat biri omon qoladi.

Quyi tarmoq topologiyasida maydon mijoz manzilini server tarmog'ining maskasi bilan birga oladi, shuning uchun 10.90.0.0/24 tunneli ichidagi manzil 10.90.0.10/24 deb yoziladi.

Bularning hech biri raqamni band qilmaydi. Ustidan yozishi mos kelmagan mijoz yoki takrorlangan sessiya hovuzning boshqa joyida tugashi mumkin va manzilga asoslangan qoida o'shanda u yerda bo'lmagan birovni tasvirlaydi.

Dinamik yo'lni chegaralangan standart bilan yoping

Muqobil — faqat statik ishlaydigan server: qabul qilingan har bir oxirgi nuqta o'z shaxsiyatiga va o'z noyob manziliga ega va boshqa hech narsa kirmaydi.

Buni amalga oshirish ulanish bloklanishi yoqilgan va faqat shu bitta serverga chegaralangan DEFAULT ustidan yozishni anglatadi. Mos keladigan ustidan yozishi bo'lmagan mijoz endi odatiy dinamik qabulga qayta olmaydi. Afzallikni yopiq to'plamga aylantiruvchi aynan o'sha bitta satr.

Qamrov muhim. Qurilmadagi har bir VPN nusxasiga qo'llaniladigan standart ustidan yozish aloqasiz tunnellarni bloklaydi va bu nosozlik siyosat qaroridan ko'ra buzilgan xizmatga o'xshaydi. Uni qabul modelini o'zgartirayotgan bitta serverga bog'lang. Keyin qamrovni o'zgarishlar jurnaliga yozib qo'ying, chunki keyingi odam u qaysi tunnelga tegishli ekanini eslamaydi.

Keyin ruxsat etilgan to'plamning butunini tekshiring. Standart bloklash manzilsiz qolgan nomlangan ustidan yozishni to'g'irlamaydi va o'sha oxirgi nuqta sababi haqida aniq ishora bo'lmasa, shunchaki ulana olmaydi.

Server haqiqatan ishlatadigan shaxsiyatga moslashtiring

Ustidan yozish nimanidir moslashtiradi. Sertifikatlarning umumiy nomlarini moslashtiradigan serverda ustidan yozish nomi o'sha umumiy nom bo'lishi kerak, odamning ko'rsatiladigan nomi emas. Uni hisoblar ro'yxatidan emas, sertifikatdan ko'chirib oling.

Foydalanuvchi nomini umumiy nom sifatida ishlatish uchun sozlangan server butunlay boshqa kalitda moslashtiradi va sertifikat nomi bilan atalgan ustidan yozish hech qachon ishga tushmaydi. Sozlamani hisoblar ro'yxati ko'rsatganidan xulosa qilish o'rniga o'qing.

Joylashtirish talab qiladigan qo'shimcha autentifikatsiya omillarini saqlang. Yopiq manzil modeli kim ulanishi mumkinligini va qaysi manzilni olishini o'zgartiradi; sertifikat tekshiruvini yoki ikkinchi omilni almashtirmaydi.

Kirish qoidalarini xarita to'g'ri bo'lgandan keyin yozing

Shaxsiyatdan manzilga xarita yopilgandan so'ng, qoidalar manzillarga odamlardek munosabatda bo'lmasdan murojaat qila oladi. Bir kishining oxirgi nuqtalarini guruhlaydigan taxallus ma'lum bir xizmatga yeta oladi, boshqa taxallus esa boshqa narsaga yetadi. Taxallus tekshiriladigan obyektga aylanadi va manzil uning ichida amalga oshirish detali bo'lib qoladi.

Manzillar va portlarni aniq saqlang. Butun tunnel hovuzidan butun mahalliy tarmoqqa ruxsat berish bu mashq almashtirishi kerak bo'lgan dizaynning o'zi.

Suzuvchi, guruh va interfeys qoidalarini ularning haqiqiy baholash tartibida o'qing, chunki oldingi keng o'tish keyingi tor o'tishni bekor qiladi. Mijozlar orasidagi ichki yo'naltirishni o'chirish tengdosh trafigini shu qoidalar ko'rib chiqiladigan chegarada ushlab turadi. Faqat qog'ozda mavjud bo'lgan qoida ijro emas.

Salbiy holatlarni sinab ko'ring

To'rtta yangi ulanishni sinab ko'ring: nomlangan oxirgi nuqta, umuman ustidan yozishsiz biri, ochiq bo'lishi kerak bo'lgan xizmat va bo'lmasligi kerak bo'lgan xizmat. Ro'yxatda yo'q oxirgi nuqta muhim holat, chunki dizayn aynan uni to'xtatish uchun mavjud. Agar u ulansa, standart bloklash o'z ishini qilmayapti.

IPv6ni alohida tekshiring, chunki IPv4 manzil siyosati ikkinchi stek haqida hech narsa demaydi. Keyin ilova foydalanuvchini hali ham avtorizatsiya qilishini tasdiqlang, chunki tunnel manzili tarmoq faktidir va klaviaturada kim borligining isboti emas. Ikkala tekshiruv ham qabul yozuviga tegishli.

Nihoyat, migratsiyani rejalashtiring. Yangi ustidan yozishlar va tor qoidalar allaqachon o'rnatilgan sessiyalarni orqaga qaytarib o'zgartirmaydi, shuning uchun mavjud holatlar tugashi yoki ataylab tozalanishi kerak.