firewalld dinləyici qaydası və yönləndirmə siyasəti: hər biri nə edir

Qoşulan, lakin heç bir yerə çatmayan VPN adətən firewall problemi kimi təsvir olunur və insanların əl atdığı həll tunel interfeysini etibarlı zonaya yerləşdirməkdir. Bu, trafikin axmağa başlaması mənasında işləyir, amma həm də nəzərdə tutulan xidmətdən qat-qat çoxunu buraxır. Buradakı iki siyasət fərqlidir: biri xarici nəqliyyatı dinləyən soketə buraxır, digəri deşifrə olunmuş trafikin konkret resursa çatmasına icazə verir. Onları bir ayar kimi qəbul etmək dar icazəni geniş icazəyə çevirən şeydir. İkisi fərqli yerlərdə qərar verilir, buna görə bu səhvi etmək çox asandır.

İki siyasət, bir tunel

Xarici siyasət sadə suala cavab verir: bu mənbədən gələn paket bu hostda UDP 1194 portuna çata bilərmi? Daxili siyasət başqa suala cavab verir: bu tunelin arxasındakı autentifikasiya olunmuş müştəri bu təyinat nöqtəsinə, bu protokolla, bu portla çata bilərmi? Birincisi soketlə, ikincisi yolla bağlıdır və firewalld onları fərqli obyektlərlə modelləşdirir, çünki onlar fərqli nöqtələrdə qərar verilir. Biri bu hostdakı soketin xassəsidir, digəri onun içindən keçən yolun xassəsi.

Praktiki nəticə budur ki, işləyən tunel ikinci siyasət haqqında heç nə demir və düzgün ikinci siyasət birincisini artıq etmir.

Faktiki xarici dinləyicini buraxın

Fərziyyə yürütmək əvəzinə artıq təyin olunanı yoxlamaqla başlayın. Aktiv zonaları oxuyun, giriş trafikini həqiqətən daşıyan zonanı siyahıya salın və quraşdırılmış xidmət tərifini yoxlayın, çünki xidmət adı portlar dəstini təsvir edir və bu serverin dinləyicisinin ona uyğun olub-olmadığı barədə heç nə demir.

firewall-cmd --get-active-zones
firewall-cmd --zone=public --list-all
firewall-cmd --info-service=openvpn

Əgər dinləyici həqiqətən həmin zonada UDP 1194-dürsə, məhz o portu və nəqliyyatı açın, sonra sınaqdan keçirdikdən sonra eyni konkret qaydanı qalıcı edin. Mənbə əsaslı təyinatları da yoxlayın, çünki mənbə aralığına bağlanmış zona trafiki interfeys zonası onu görməmişdən əvvəl tuta bilər.

Deşifrə olunmuş təyinat nöqtəsini ayrıca icazələndirin

VPN serverinin özündə işləyən xidmətə qoşulma lokal giriş siyasətidir. LAN-dakı başqa hosta yönləndirilən qoşulma yönləndirmə siyasəti tələb edir, nüvədə aktivləşdirilmiş yönləndirmə və cavab marşrutu — bunlar insanların tez-tez birinə yığdığı üç ayrı tələbdir. Müasir firewalld siyasət obyektləri giriş zonası ilə çıxış zonası arasında istiqamətlənmiş trafiki təsvir edir və hansı VPN mənbələrinin hansı şəxsi xidmətlərə çata biləcəyini ifadə etmək üçün düzgün yer məhz orasıdır.

İcazə verilən mənbələri açıq şəkildə təyin edin və qalan hər şeyin rəddə düşməsinə icazə verin. Xarici xidmət üçün icazə bu siyasət deyil, zona düzümü nə qədər belə görünsə də.

Niyə interfeysə etibar etmək səhv qısa yoldur

Tunel interfeysini hədəfi hər şeyi qəbul edən zonaya yerləşdirmək bütün deşifrə olunmuş trafiki hostun təqdim etdiyi hər xidmətə buraxır, o cümlədən yoxlamadığınız xidmətlərə. Etibarlı zonanı canlı maşında məhdudlaşdırıcı kimi yenidən hədəfləmək daha pisdir, çünki digər interfeyslər və mənbə aralıqları artıq onun mənasından asılı ola bilər və siz onu redaktə edəndə davranışı dəyişəcək. Sizə dar siyasət lazımdırsa, onu yaradın; ortaq zonanı yeni məqsəd üçün işlətməyin.

Həmçinin tunelin zona təyinatını bu konfiqurasiyaya sahib olan hansı komponent varsa, onun vasitəsilə sabit saxlayın. Yenidən başlatmada təyinatın itməsi firewall qaydası problemi kimi görünən, əslində isə davamlılıq problemi olan nasazlıq yaradır.

Üç şeyi yoxlayın, o cümlədən bir imtinanı

Xarici qoşulmanı kənardan sınayın, qoşulmuş müştəridən bir icazəli daxili xidməti sınayın və əlçatmaz qalmalı olan bir xidməti sınayın. Üçüncü sınaq siyasəti yan təsirdən ayıran sınaqdır və insanlar məhz onu atlayır, çünki hər şey işləyir kimi görünür. Əgər rədd edilən xidmət cavab verirsə, siz xidmət deyil, zona buraxmısınız.

Zonanı, portu, nəqliyyatı və siyasət obyektini serverin qeydlərinə yazın. Əks halda bu hosta növbəti dəyişiklik eyni fərziyyədən başlayacaq.