Máy khách VPN và mạng LAN: khi nào dùng vùng riêng

Đặt giao diện đường hầm vào vùng LAN là con đường ngắn nhất đến một VPN hoạt động được, và thường đó là giá trị mặc định sai. Nó trao cho máy khách từ xa sự tin cậy như mạng LAN có dây, điều mà công việc hiếm khi đòi hỏi. Một vùng riêng tốn vài quy tắc và làm ranh giới hiện rõ. Quyết định không phải là vùng nào tốt hơn; mà là ba điều kiện nào áp dụng cho mạng của bạn.

Tên vùng không mã hóa gì và không xác thực người dùng. Nó chỉ nhóm các giao diện cho mô hình chính sách của tường lửa.

Tư cách thành viên vùng thực sự kiểm soát điều gì

Một vùng nhóm các giao diện hoặc lưu lượng trong mô hình của tường lửa. Sau đó các thiết lập đầu vào, đầu ra và chuyển tiếp của nó chi phối những vai trò khác nhau. Đầu vào là lưu lượng đến chính bộ định tuyến; chuyển tiếp là lưu lượng đi qua nó đến một máy chủ khác. Tài liệu về vùng của OpenWrt coi đầu vào, đầu ra và chuyển tiếp là các thiết lập riêng biệt chính vì lý do này.

Cho phép từ vùng VPN sang vùng LAN không tự động là cho phép ngược lại. Các quy tắc chuyển tiếp có hướng, và một quy tắc cho phép lưu lượng từ máy khách đến máy chủ không cho phép phiên từ máy chủ đến máy khách. Một máy khách có thể mở kết nối đến máy chủ không phải là máy khách mà máy chủ có thể mở kết nối trở lại.

Chính sự khác biệt đó là lý do một vùng riêng hữu ích: bạn có thể nêu rõ từng hướng và từng vai trò. Ghi hướng bên cạnh mỗi quy tắc.

Quyết định một: đầu vào, chuyển tiếp hay cả hai

Nếu máy khách từ xa cần DNS từ bộ định tuyến, chỉ cho phép đầu vào cho dịch vụ đó. Nếu họ cần đến một máy chủ tệp, hãy cho phép chuyển tiếp đến đích đó. Hầu hết các thiết kế VPN cần cả hai, nhưng cho những dịch vụ khác nhau.

Truy cập đầu vào rộng đến mọi dịch vụ cục bộ gần như không bao giờ cần thiết. Hãy coi việc quản trị bộ định tuyến là quyết định riêng, tách khỏi truy cập ứng dụng. Nếu bộ định tuyến chỉ cần trả lời DNS, hãy viết đúng một cho phép đó và để phần còn lại đóng.

Quyết định hai: máy khách từ xa cần tài nguyên gì

Liệt kê dải máy khách, các đích và các dịch vụ mà VPN phải cung cấp trước khi viết quy tắc. Danh sách đích hữu ích hơn nhãn tin cậy, vì nó tồn tại qua một lần di chuyển tường lửa.

Giữ các giao diện quản trị tách khỏi truy cập ứng dụng thông thường. Một máy khách từ xa đến được wiki không vì thế mà cần trang quản trị của bộ định tuyến hay bảng điều khiển của hypervisor.

Nếu một đích được cho phép có thể chuyển tiếp tiếp, ranh giới của vùng dừng ở tường lửa, không phải ở việc đích làm tiếp theo.

Quyết định ba: bạn sẽ chứng minh ranh giới thế nào

Kiểm tra một luồng được phép và một luồng bị từ chối có chủ ý sau mỗi thay đổi. Chứng minh một trang web tải được không phơi ra một cho phép rộng không chủ ý. Kiểm tra từ dải địa chỉ của máy khách VPN, không phải từ mạng LAN, và bao gồm hướng bạn cho là sẽ thất bại. Ghi cả hai kết quả bên cạnh quy tắc.

Giữ quyền truy cập khôi phục của cổng vào trước khi sửa chính sách vùng từ xa. Dùng cấu hình được quản lý lâu bền thay cho chỉnh sửa lúc chạy, nếu không lần khởi động lại tiếp theo sẽ khôi phục sự tin cậy cũ. Một bản sao cấu hình trước đó, lưu ngoài thiết bị, là cách quay lui rẻ nhất bạn từng có.

Khi mạng phát triển, hãy ghi lại tư cách thành viên và mục đích của các quy tắc. Một giao diện mới kết nối không nên thừa hưởng đặc quyền chỉ vì ai đó đã đặt cho nó một tên vùng thuận tiện.