firewalld-luisteraarreël teenoor deurstuurbeleid: wat elkeen doen

'n VPN wat konekteer maar niks bereik nie, word gewoonlik as 'n firewall-probleem beskryf, en die oplossing waarna mense gryp is om die tonnel-koppelvlak in 'n vertroude sone te plaas. Dit werk in die sin dat verkeer begin vloei, en dit laat ook veel meer deur as die beoogde diens. Die twee beleide wat hier betrokke is, verskil: een laat die buitenste vervoer na 'n luisterende sok toe, en die ander magtig gedekripteerde verkeer om 'n spesifieke hulpbron te bereik. Om hulle as een instelling te behandel, is wat 'n smal toelating in 'n wye een verander. Die twee word op verskillende plekke beslis, en daarom is die fout so maklik om te maak.

Twee beleide, een tonnel

Die buitenste beleid beantwoord 'n eenvoudige vraag: mag 'n pakket van hierdie bron UDP 1194 op hierdie gasheer bereik? Die binneste beleid beantwoord 'n ander een: mag die geauthentiseerde kliënt agter daardie tonnel hierdie bestemming bereik, met hierdie protokol, op hierdie poort? Die eerste gaan oor 'n sok, die tweede oor 'n pad, en firewalld modelleer hulle met verskillende objekte omdat hulle op verskillende punte beslis word. Een is 'n eienskap van 'n sok op hierdie gasheer, die ander van 'n pad daardeur.

Die praktiese gevolg is dat 'n werkende tonnel jou niks oor die tweede beleid sê nie, en 'n korrekte tweede beleid maak die eerste een nie oorbodig nie.

Laat die werklike buitenste luisteraar deur

Begin deur te ondersoek wat reeds toegewys is, eerder as om te aanvaar. Lees die aktiewe sones, lys die sone wat werklik inkomende verkeer dra, en kontroleer die geïnstalleerde diensdefinisie, want 'n diensnaam beskryf 'n stel poorte en sê niks oor of hierdie bediener se luisteraar daarmee ooreenstem nie.

firewall-cmd --get-active-zones
firewall-cmd --zone=public --list-all
firewall-cmd --info-service=openvpn

As die luisteraar werklik UDP 1194 op daardie sone is, maak daardie poort en vervoer spesifiek oop, en maak dan dieselfde spesifieke reël permanent nadat jy dit getoets het. Kontroleer ook brontoewysings, want 'n sone wat aan 'n bronreeks gebind is, kan die verkeer vang voordat die koppelvlak-sone dit ooit sien.

Magtig die gedekripteerde bestemming afsonderlik

'n Verbinding na 'n diens wat op die VPN-bediener self loop, is plaaslike-invoer-beleid. 'n Verbinding wat na 'n ander gasheer op die LAN deurgestuur word, benodig deurstuurbeleid, deurstuur wat in die kernel geaktiveer is, en 'n antwoordroete — drie afsonderlike vereistes wat mense dikwels in een saamsmelt. Moderne firewalld-beleidsobjekte beskryf gerigte verkeer tussen 'n inkomende sone en 'n uitgaande sone, en dit is die regte plek om uit te druk watter VPN-bronne watter private dienste mag bereik.

Definieer die toegelate bronne eksplisiet en laat al die res na 'n weiering deurval. 'n Toelating vir die buitenste diens is nie daardie beleid nie, maak nie saak hoe die sone-uitleg lyk nie.

Waarom die koppelvlak vertrou die verkeerde kortpad is

Om die tonnel-koppelvlak in 'n sone te plaas waarvan die teiken alles aanvaar, laat alle gedekripteerde verkeer deur na elke diens wat die gasheer blootstel, insluitend dienste wat jy nie nagegaan het nie. Om die vertroude sone op 'n lewendige masjien na beperkend te herteiken, is erger, want ander koppelvlakke en bronreekse kan reeds op sy betekenis staatmaak en sal van gedrag verander wanneer jy dit wysig. As jy 'n smal beleid nodig het, skep een; moenie 'n gedeelde sone hergebruik nie.

Hou ook die tonnel se sone-toewysing stabiel deur watter komponent ook al daardie konfigurasie besit. Om die toewysing tydens herbegin te verloor, lewer 'n fout wat soos 'n firewall-reëlprobleem lyk en eintlik 'n volhardingsprobleem is.

Verifieer drie dinge, insluitend een weiering

Toets die buitenste verbinding van buite, toets een gemagtigde binneste diens vanaf 'n gekoppelde kliënt, en toets een diens wat onbereikbaar moet bly. Die derde toets is die een wat 'n beleid van 'n newe-effek onderskei, en dit is die een wat mense oorslaan omdat alles werk. As die geweierde diens antwoord, het jy 'n sone toegelaat eerder as 'n diens.

Teken die sone, poort, vervoer en beleidsobjek in die bediener se notas aan. Die volgende verandering aan hierdie gasheer sal andersins by dieselfde raaiskoot begin.