02.4 – Routing- und Policy-Konzept

Routing- und Policy-Konzept
Grundsatz
NetBird wird nicht als flaches VPN aufgebaut. Zugriffe werden nach Funktion, Standort und Geräteklasse getrennt.
Vorgesehene Gruppen
site-lathen-muehlentannen-router
site-lathen-bahnhof-router
site-lathen-garten-router
site-barsbuettel-router
site-heppenheim-router
clients-homeoffice
clients-roadwarrior
resources-data
resources-voice
optional weitere fachliche Benutzer-/Gerätegruppen
Networks und Resources
Pro Standort soll mindestens ein logisch abgegrenztes Network angelegt werden. Daten-LAN und Voice-VLAN werden als getrennte Ressourcen geführt. Damit können Policies für Telefonie unabhängig von normalen Standortzugriffen gepflegt werden.
Policy-Grundsätze
Default-Deny als Zielzustand.
Site-to-Site nur für tatsächlich benötigte Netze.
Voice-Verkehr ausschließlich zwischen den benötigten Voice-Ressourcen und OmniPCX-Komponenten.
Roadwarrior erhalten keinen pauschalen Zugriff auf komplette Standortnetze.
HomeOffice-Zugriffe werden nach benötigten Diensten bzw. Ressourcengruppen freigegeben.
Administrative Netze und Managementoberflächen erhalten eigene restriktive Regeln.
Änderungen an Policies müssen dokumentiert und getestet werden.
Masquerading
Für die erste Site-to-Site-Implementierung wird Masquerading auf Linux-Routing-Peers verwendet. Dadurch sehen Zielsysteme grundsätzlich die LAN-Adresse des lokalen Routing-Peers als Quelle. Für Systeme, bei denen die tatsächliche Client-/Overlay-IP benötigt wird, ist eine gesonderte technische Entscheidung erforderlich.