Ikki mijoz guruhi, bitta server: siyosatni qayerda qo'llash kerak

Ikki mijoz guruhini turli subnetlarga joylashtirish izolyatsiyaga o'xshaydi, lekin unday emas. Manzillar paket qayerdan kelayotgandek ko'rinishini tavsiflaydi, ruxsat esa uni yo'naltiruvchi qabul qiladigan qarordir. Bu savolga niqob emas, konfiguratsiya javob beradi, shuning uchun har qanday qoida yozishdan oldin tengdoshlar trafigini qaysi komponent yo'naltirishini hal qiling.

Subnet — yorliq, qoida emas

Har bir guruhga bitta hovuz berish o'qiladigan manzillarni beradi va boshqa hech narsa. Qo'shimcha marshrutni qabul qilgan mijoz yetib borish imkoniyatini oldi, yetib borish esa ruxsat emas. Gapirish ruxsati yo'naltirish qarorida bo'lib, u server qanday sozlanganiga qarab daemon yoki yadroda yashashi mumkin.

Manzil egaligi prefiksni guruh tanlagichi sifatida ishlatishga yaroqli qiladi. Har bir autentifikatsiya qilingan shaxs oldindan aytish mumkin bo'lgan manzil yoki diapazonga mos kelishi kerak va bir nechta qurilma bitta hisob ma'lumotini va bitta taqsimotni bo'lishishi bilan bu moslik buziladi. Manba prefiksiga tayanishdan oldin shaxs va bir vaqtlilikni hal qiling, chunki qaysi mashina qo'ng'iroq qilayotganini taxmin qiluvchi siyosat eng yomon paytda noto'g'risiga ruxsat beradi.

Tengdoshlar trafigini tashuvchi yo'lni tanlang

Daemon tengdoshlar paketlarini o'z jarayoni ichida yo'naltirganda, bu paketlar hech qachon xostning yo'naltirish ilgagiga yetib bormaydi, shuning uchun yadro qoidasi ularni ko'ra olmaydi. Bu ichki yo'naltirishni o'chiring va yadro odatiy yo'naltirish qoidalari amal qiladigan yo'naltirish nuqtasiga aylanadi.

# peer forwarding inside the daemon: enforce with per-group policy instead of FORWARD rules
client-to-client
# kernel forwarding path: remove the line above, then filter in the forward chain

Yuklab olingan ma'lumot kanallari va mahsulot boshqaradigan serverlar o'z qo'llash modellarini e'lon qiladi, shuning uchun jamoa xatti-harakatini taxmin qilish o'rniga qaysi birini ishlatayotganingizni tasdiqlang. Saqlanishi kerak bo'lgan xato — ko'rikda to'g'ri ko'rinadigan va ish vaqtida hech qachon so'ralmaydigan qoida.

Qoidalardan oldin matritsani yozing

Qisqa matritsa qoidalar to'plamidan osonroq ko'rib chiqiladi va u implementatsiya bajarishi kerak bo'lgan shartnomadir: bir guruh tengdoshlari ruxsat etiladi, guruhlar orasidagi tengdoshlar taqiqlanadi, ikkala guruhga bitta nomlangan umumiy xizmatga ruxsat, qolgan hamma narsa taqiqlanadi. Firewall muharririni ochishdan oldin o'sha to'rt qatorni yozing. Qoidalar sintaksisini o'qimaydigan ko'rib chiquvchi ham matritsani tekshira oladi. Keyin implementatsiya faqat qatorlarga mos kelishi kerak.

Yozayotganda uchta manzil sinfini alohida tuting. VPN xostidagi xizmat mahalliy kiritish, boshqa mijoz tengdoshlar tranziti, darvoza orqasidagi mashina esa boshqa yo'naltirish yo'li. Bitta saxiy qoida tasodifan uchtasini ham berishi mumkin va shu bilan guruh siyosati qo'shimcha qadamlar bilan tekis tarmoqqa aylanadi. Har bir qator yoniga sinfni yozing, niyat keyingi tahrirda ham saqlanib qolsin.

Qoidalarni omon qoladigan joyga qo'ying

Qarorlarni firewallning qolgan qismi saqlanadigan joyga, ularni yutib yuborishi mumkin bo'lgan har qanday ruxsat beruvchi qoidadan oldin qo'shing. Qoidalar tartibi siyosatning bir qismi va keng ruxsatdan keyin qo'yilgan to'g'ri qoida hech narsani bajarmaydi. O'zgarishdan oldin va keyin qoida raqamlarini yozib oling. Muharrirda bor, lekin ishlayotgan qoidalar to'plamida yo'q siyosat — reja, nazorat emas.

Siyosat o'zgarganda allaqachon mavjud oqimlarga nima bo'lishini hal qiling, chunki o'zgarishdan oldin ochilgan sessiya keyin ham davom etishi mumkin. Ketayotgan a'zo darhol kirishni yo'qotishi kerak bo'lsa, qoidalar to'plamiga ulanishning o'zi yopilishini kutish o'rniga bu holatni tugatish usuli kerak.

Qoidalarni firewallning qolgan qismiga ega mexanizm orqali doimiy qiling va matritsani ularning yoniga yozib qo'ying. Yozib qo'yilmagan siyosat keyingi hodisada xotiradan qayta olinadi, odatda shoshqaloq kishi tomonidan.

Ikkala tomondan isbotlang

Har bir guruhdagi bitta mijozdan bir guruh ichidagi yetib borishni, guruhlar orasidagi muvaffaqiyatsizlikni va umumiy xizmatni sinab ko'ring. Bitta mijozdan bitta sinov matritsaning yarmini isbotlaydi va qoldirilgan yarmi odatda noto'g'risi. Rad etish yo'nalishini ikki marta takrorlang, chunki keshlangan sessiya qo'llash xatosini yashirishi mumkin. Qaysi juftlikni sinab ko'rganingizni yozib qo'ying, keyingi odam uni takrorlamasin.

Tunnel IPv6 tashisa, tekshiruvni o'sha protokolda takrorlang va odatiy ilova autentifikatsiyasini saqlang. Manba prefiksi hisob emas, shuning uchun tarmoq siyosatidan o'tish xizmat qo'ng'iroq qiluvchiga ishonishi kerak degani emas.