yanlızca belirli ip adresleri ve mac adreslerine izin verme
-
Merhaba
yeni bir cloud server alıcaz ve üstünde mysql çalışacak sadece 3306 portu üstünden.
farklı lokasyonlardan / ülkelerden ve cihazlardan kendi özel yazılımımız üstünden bu mysql'e erişim sağlanıcak.
aynı zamanda sitemizin subdomaini üstünden panel vasıtasıyla bu mysql database'inden veri çekiyor.ama direkt olarak açmak istemiyoruz bu portu dışarıya tehlikeli.
**pfsense ile yanlızca izin verilen ip adresleri ve mac adreslerine bu mysql portu üstünden erişim sağlayabilirmiyiz.
sadece ip tanımlayamayız çünkü ofisten çalışan birisi akşam eve bilgisayarınıda götürebiliyor.
yada farklı ülkelere gidip çalışanlarda var.
isteğimiz sadece belirlediğimiz ip adresleri ve mac adreslerinden buraya erişim sağlanabilsin.
böyle bir şey mümkünmü pfsense ile.
allow list sadece ip adresleri ve mac adreslerinden oluşacak sadece.
hangisi uyarsa ona izin verecek.
vpn ile bağlasak hem karmaşık hemde web siteside buradan veri çekiyor o iş biraz karışık olacak.yada başka bir öneriniz varmıdır bununla ilgili.**
eğer pfsense bu işi yapabiliyorsa önerebileceğiniz bir cihaz varmıdır.
serverda 2gbps bandwidth düşünüyoruz bu yükü kaldırabilecek bir cihaz olmalı.
yada windows server üstünden yazılım ilede çözebilirmiyiz ama isteğimiz olabilirse cihaz üstünden bunu sağlamak.
Saygılar. -
@mika_hakinen Wan Nat işlemi için mac filtreleme yapamazsınız. Pfsense için değil, bütün sistemler için geçerlidir bu. Çünkü wan tarafından bağlantılarda sisteme görünen mac, sizin cihazınızın değil, isp ağ geçidindeki cihazın mac adresidir. Bu işlem için Vpn'den başka bir seçeneğiniz maalesef yok.
-
bu kadar geniş bir çalışma alanı için ip ve mac gibi eşleştirmeler tanımlanabilse bile nihayetinde yetersiz kalacaktır. ben olsam firebase authentication kullanıp 2 faktörlü doğrulamayı da zorunlu tutarım. eğer ip adresi değişmeyecek cihazlar var ise onlarda statik ip üzerinden izin verebilirsiniz.
-
@plusbil said in yanlızca belirli ip adresleri ve mac adreslerine izin verme:
@mika_hakinen Wan Nat işlemi için mac filtreleme yapamazsınız. Pfsense için değil, bütün sistemler için geçerlidir bu. Çünkü wan tarafından bağlantılarda sisteme görünen mac, sizin cihazınızın değil, isp ağ geçidindeki cihazın mac adresidir. Bu işlem için Vpn'den başka bir seçeneğiniz maalesef yok.
mac adreslerine göre kurallar sadece lan > wan şeklindemi ilerliyor ?
dediğiniz gibi biz internetten gelecek cihazları filtrelemek istiyoruz bununda yapılacabileceğini zannediyorduk hatta fortigate falan bakıyorduk şu an.
bu bilgi çok önemli oldu teşekkürler.dışardan gelen cihazlarda sistem sadece ip adresinimi çözebiliyor ?
mac adresini ise bağlandığı modem , isp vb.. cihazımı gösteriyor ? -
@greenlight said in yanlızca belirli ip adresleri ve mac adreslerine izin verme:
bu kadar geniş bir çalışma alanı için ip ve mac gibi eşleştirmeler tanımlanabilse bile nihayetinde yetersiz kalacaktır. ben olsam firebase authentication kullanıp 2 faktörlü doğrulamayı da zorunlu tutarım. eğer ip adresi değişmeyecek cihazlar var ise onlarda statik ip üzerinden izin verebilirsiniz.
çok fazla ülkeden ve ip adresinden bağlanılılacak.
bizim iş çok dinamik olduğu için statik ip tanımlamamız mümkün değil.
kişi işyerinde çalışıyor akşam evine götürüyor oradada çalışması lazım veya hafta sonu almanyaya gidiyor oradan çalışacak hemde görüşme yapacak.
aynı zamanda web sitesinin bir subdomainide bu cloud server'dan / mysql üzerinden veri çekecek.haydi bilgisayarları vpn ile bağladım, web sitesinin bir kısmıda buradan veri çekiyor.
işin içinden tam çıkamadım.**benim aklımda
ilk kural olarak en üstte 7-8 ofisimiz var onların statik ip'lerini girip
2. kuraldada bağlanıcak her bilgisayarın lan ve wifi mac adreslerini girip bu işi çözmek vardı.
diyelimki kişi ofisten değil evden bağlanıcak mac adresini girdiğimiz için sistem izin verecekti.ama anladığım kadarıyla wan > lan kısmında mac adresleri çözülemiyormuş.
önelerilere açığım. tam çıkamadım bu işin içinde.**
-
size önerebileceğim 2 farklı çözüm var. birisi zaten önceden bahsemiş olduğun 2fa destekli bir auth api kullanarak bağlanacak kullanıcıları yönetebilir ve düzenleyebilirsiniz.
ikinci çözüm host server önüne bir pfsense yapılandırabilir, cloud server ile olan bağlantıyı site to site vpn ile, kullanıcılar ile server arasındaki bağlantıyı da openvpn clientlerı ile bağlayabilirsiniz. daha önce aynı anda ikisini birden çalıştırmadım ama bir problem olacağını düşünmüyorum.
-
@greenlight said in yanlızca belirli ip adresleri ve mac adreslerine izin verme:
size önerebileceğim 2 farklı çözüm var. birisi zaten önceden bahsemiş olduğun 2fa destekli bir auth api kullanarak bağlanacak kullanıcıları yönetebilir ve düzenleyebilirsiniz.
ikinci çözüm host server önüne bir pfsense yapılandırabilir, cloud server ile olan bağlantıyı site to site vpn ile, kullanıcılar ile server arasındaki bağlantıyı da openvpn clientlerı ile bağlayabilirsiniz. daha önce aynı anda ikisini birden çalıştırmadım ama bir problem olacağını düşünmüyorum.
çok teşekkür ederim.
web sitesi dedicated ip'ye sabit bu ip'yi pfsense allow list olarak tanımlasak cloud servera bağlantı kurar gibi zaten sanırım.
bilgisayarlarıda vpn ile bağlamam gerekiyor anlaşılan başka bir çözüm yolu yok gibi.izleyeceğim yol şu şekildemi olacak
windows server 2022 olacak
bir hyper-v 'ye pfsense kurucam , 2. hyper-v 'yede veritabanın olduğu sistemi..
trafiği pfsense karşılayacak eğer uygunsa diğer hyper-v ip'sine yani veritabanının olduğu ip'ye yönlendirecek doğrumudur ?vpn bağlantılarını pfsense yapıyormu yoksa windows server üzerindenmi ayarlıyacaz / yapıcaz vpn'leri.
ben hep fortigate kullandığım için onda vpn seçenekleri mevcut pfsense'de varmı emin değilim. -
@mika_hakinen anlattığınız şekilde sistemi kurabilirsiniz. pfsense kullanarak openvpn ile bağlantı sağlayabilirsiniz.
-
@mika_hakinen Wan > Lan şeklinde de ilerleyebilir. Sonuçta pfsense tarzı açık kaynak kodlu bir güvenlik duvarına 3-5 kod yazmaya bakar herşey. Sıkıntı orada değil.
Sıkıntı networkun wandaki işleyiş yapısında. Bir bilgisayara varsayılan ağ geçidi ve dns adresi yazmazsanız wan netine ulaşamazsınız bildiğiniz gibi. Siz ağ geçidinize isteğinizi iletirsiniz, ağ geçidiniz isteğinizi isp servera gönderir. Isp server gelen isteği girdiğiniz dns sunucusu sayesinde ip adresine dönüştürür, adrese ulaşır ve geriye doğru cevaplama işlemi gerçekleşir. Tabi bu en basit tarzda bir wan yapısıdır. Çünkü bağlandığınız isp server, aslında bir grubun belki de en alt halkası olabilir. Üzerinde, sizi istediğiniz adrese ulaştıracak daha onlarca katman bulunabilir. Her katman bir üstteki katmana ip-mac kimlik bilgisini iletir. Bu sistemde işlemi yapan landaki sizin kimliğiniz değil, wandaki ağ geçidiniz yahut isp serverlardır. Onların üzerindeki var olan ip ve mac adresleri kayıt altına alınır.
O yüzdendir ki, metro tarzı bağlantılarda, uydunet-fiber altyapı sistemlerinde sizin bilgisayarınızın değil, modem-router cihazının mac adresi iss tarafından sisteme kayıt edilir ve internet açılır. Wan>Lan Nat yapısında mac filtreleme bu sebeple mantıksızdır, bunu yapan herhangi bir cihaz da yoktur.