VPN mijozlari va LAN: qachon alohida zona ishlatish kerak

Tunnel interfeysini LAN zonasiga joylashtirish ishlaydigan VPN ga eng qisqa yo'l, va odatda bu noto'g'ri standart sozlama. Bu uzoqdagi mijozga simli LAN ega bo'lgan ishonchni beradi, vazifa esa buni kamdan-kam talab qiladi. Alohida zona bir nechta qoidaga tushadi va chegarani ko'rinadigan qiladi. Qaror zonalar yaxshiroqmi degani emas; sizning tarmog'ingizga qaysi uchta shart tegishli ekani.

Zona nomi hech narsani shifrlamaydi va foydalanuvchini autentifikatsiya qilmaydi. U faqat interfeyslarni xavfsizlik devorining siyosat modeli uchun guruhlaydi.

Zona a'zoligi aslida nimani boshqaradi

Zona interfeyslar yoki trafikni xavfsizlik devori modelida guruhlaydi. Keyin uning kirish, chiqish va yo'naltirish sozlamalari turli rollarni boshqaradi. Kirish — routerning o'ziga boradigan trafik; yo'naltirish esa u orqali boshqa hostga boradigan trafik. OpenWrt ning zonalar haqidagi hujjati aynan shu sababdan kirish, chiqish va yo'naltirishni alohida sozlamalar deb biladi.

VPN zonasidan LAN zonasiga berilgan ruxsat avtomatik ravishda teskari ruxsat emas. Yo'naltirish qoidalari yo'nalishga ega, va mijozdan serverga trafikka ruxsat beruvchi qoida serverdan mijozga sessiyalarga ruxsat bermaydi. Serverga ulanish ocha oladigan mijoz, server qaytib ulanish ocha oladigan mijoz emas.

Aynan shu farq alohida zonaning foydali bo'lish sababidir: har bir yo'nalish va har bir rolni aniq ko'rsatishingiz mumkin. Har bir qoida yoniga yo'nalishni yozing.

Birinchi qaror: kirish, yo'naltirish yoki ikkalasi

Agar uzoqdagi mijozlarga routerdan DNS kerak bo'lsa, kirishga faqat shu xizmat uchun ruxsat bering. Agar ular fayl serveriga yetib borishi kerak bo'lsa, o'sha manzilga yo'naltirishga ruxsat bering. Ko'p VPN loyihalari ikkalasiga muhtoj, lekin turli xizmatlar uchun.

Har bir mahalliy xizmatga keng kirish huquqi deyarli hech qachon talab qilinmaydi. Router boshqaruvini ilovalarga kirishdan alohida qaror deb biling. Agar router faqat DNS ga javob berishi kerak bo'lsa, o'sha bitta ruxsatni yozing, qolganini yopiq qoldiring.

Ikkinchi qaror: uzoqdagi mijozlarga qanday resurslar kerak

Qoidalarni yozishdan oldin mijoz diapazonlari, manzillar va VPN taqdim etishi kerak bo'lgan xizmatlarni sanab chiqing. Manzillar ro'yxati ishonch yorlig'idan foydaliroq, chunki u xavfsizlik devori migratsiyasidan omon qoladi.

Boshqaruv interfeyslarini oddiy ilova kirishidan alohida saqlang. Vikiga yetib boradigan uzoqdagi mijoz shu sababdan routerning admin sahifasi yoki gipervayzor konsoliga muhtoj emas.

Agar ruxsat etilgan manzil yana uzoqqa yo'naltira olsa, zona chegarasi xavfsizlik devorida tugaydi, manzil keyin nima qilishida emas.

Uchinchi qaror: chegarani qanday isbotlaysiz

Har o'zgarishdan keyin ruxsat etilgan oqim va ataylab rad etilgan oqimni sinab ko'ring. Bitta sayt yuklanishini isbotlash tasodifiy keng ruxsatni oshkor qilmaydi. VPN mijozining manzil diapazonidan sinang, LAN dan emas, va muvaffaqiyatsizlik kutilayotgan yo'nalishni ham qo'shing. Ikki natijani qoida yoniga yozib qo'ying.

Uzoq zonaning siyosatini o'zgartirishdan oldin shlyuzning tiklanish kirishini saqlab qoling. Ish vaqtidagi tahrirlar o'rniga doimiy boshqariladigan konfiguratsiyadan foydalaning, aks holda keyingi qayta ishga tushirish eski ishonchni tiklaydi. Avvalgi konfiguratsiyaning qurilmadan tashqarida saqlangan nusxasi siz ega bo'ladigan eng arzon qaytarishdir.

Tarmoq o'sgan sari a'zolik va qoidalarning maqsadini hujjatlashtiring. Yangi ulangan interfeys faqat kimdir unga qulay zona nomi bergani uchun imtiyozlarni meros olmasligi kerak.