OpenWrt VPN zonası, yönləndirmə və ünvan gizlətmə: hansı lazımdır?

VPN OpenWrt ilə qarşılaşanda üç dəyişiklik bir-birinə qarışır: port açmaq, yönləndirməyə icazə vermək və ünvan gizlətməni işə salmaq. Onlar fərqli suallara cavab verir və adətən yalnız biri həqiqi tələb olur. Hər nəzarəti idarə etdiyi trafik roluna görə oxumaq təxmini qərara çevirir və dəyişiklik səhv olduqda hansı simptomu gözləməli olduğunuzu da deyir. Uğursuz olan rolu adlandırmaqla başlayın, yadda saxladığınız işarə qutusu ilə yox.

Nəzarətə toxunmadan əvvəl trafik rolunu adlandırın

Zona girişi routerin özünə nəyin çata biləcəyini müəyyən edir. Zona çıxışı routerin yaratdığı trafiki əhatə edir, zona yönləndirməsi zonadan keçən trafik üçün standartdır və ünvan gizlətmə çıxış yolunda mənbə ünvanının yenidən yazılıb-yazılmayacağını müəyyən edir. Bunlar dörd fərqli sualdır və zona siyasəti hamısına eyni dəyərlə bir anda cavab verir, buna görə də zona miqyaslı dəyişiklik kobud bir vasitədir. Adlandırılmış qayda qalanlara toxunmadan onlardan birinə cavab verə bilər.

Faydalı xəritə trafik roluna görədir, çünki bir şey uğursuz olanda müşahidə edə bildiyiniz elə budur. Aşağıdakı hər rolun onu müəyyən edən bir nəzarəti və ona işarə edən bir simptomu var:

Routerdəki dinləyiciyə bir dar giriş qaydası lazımdır

Routerdəki OpenVPN serveri routerə ünvanlanmış trafik qəbul edir, buna görə onun xarici bağlantısı onu daşıyan zonanın giriş siyasətindən asılıdır. Konfiqurasiya edilmiş nəqliyyat və porta icazə verin, həmin zonada qalan hər şeyi rədd edilmiş saxlayın. Tək port qaydası zona miqyaslı qəbuldan qat-qat kiçik dəyişiklikdir və bir il sonra hələ izah edə biləcəyiniz qayda da elə budur.

Bu qaydanı saxlamağı təhlükəsiz edən iki şey var: xidmətin həqiqətən istifadə etdiyi portu adlandırır və zona tərifinin yanında durur ki, növbəti şəxs onun niyə mövcud olduğunu görsün. Aşağıdakı sətirlər formadır, port serverin konfiqurasiyasındakı dəyəri əvəz edir. Xidmət yerini dəyişəndə həmin portu iki yerdə də dəyişdirin, çünki köhnə portda qalan qayda auditə qədər görünməz qalır.

config zone
    option name 'wan'
    option input 'REJECT'
    option forward 'REJECT'
    option output 'ACCEPT'
    option masq '1'

config rule
    option name 'allow-openvpn'
    option src 'wan'
    option proto 'udp'
    option dest_port '1194'
    option target 'ACCEPT'

Yenidən yükləməzdən əvvəl yoxlayın, çünki firewall faylındakı sintaksis xətası routeri işlək qayda dəsti olmadan qoya bilər. fw4 istifadə edən buraxılışda yoxlama ayrı əmrdir və pozulmuş bloku səssizcə qəbul etmək əvəzinə yüksək səslə uğursuz olur. Yalnız yoxlama keçdikdən sonra yenidən yükləyin və əvvəlki faylı geri qoya biləcəyiniz yerdə saxlayın.

fw4 check
service firewall reload

Müştəri sorğusu girişdən deyil, yönləndirmədən keçir

Autentifikasiyadan sonra LAN xidməti istəyən tunel müştərisi yönləndirilmiş axın yaradır, buna görə onu müəyyən edən nəzarət tunel zonası ilə LAN zonası arasındakı yönləndirmə əlaqəsidir. Tunel interfeysini nəzərdə tutulan zonaya təyin edin, sonra istiqaməti, mənbələri və xidməti bəyan edin. Zona təyini yönləndirmə qaydasına məna verən şeydir və ikisi yalnız birlikdə oxunanda məna kəsb edir. Mənbə kimi tunel zonasını, təyinat kimi LAN zonasını göstərən yönləndirmə əlaqəsi bir qəsdən verilmiş qərar kimi oxunur, iki zona miqyaslı qəbul isə təsadüf kimi oxunur.

Routerin özünə çatmaq hələ də giriş yolundan istifadə edir, buna görə şlüzə ping onun arxasındakı fayl paylaşımı haqqında heç nə demir. Bu iki uğursuzluq fərqli bloklarda yaşayır və fərqli düzəlişlərlə aradan qaldırılır. Hər hansı birini dəyişməzdən əvvəl iki yolu ayrı-ayrılıqda yazın.

Ünvan gizlətmə icazə deyil, marşrutlaşdırma qərarıdır

Ünvan gizlətmə seçilmiş gedən trafikin mənbə ünvanını yenidən yazır. Uzaq tərəfin geri dönüş marşrutu olmadığı çıxış dizaynını xilas edə bilər və həm də fərdi müştəri ünvanlarını ünvanları qeyd edən və ya ünvana görə icazə verən istənilən xidmətdən gizlədir. Onu söndürmək geri dönüş yolu barədə marşrut seçimidir, gələn deşiyi bağlayan təhlükəsizlik açarı deyil. Tərcümə açıq ikən işləyən və söndürülən kimi uğursuz olan tuneldə adətən çatışmayan şey geri dönüş marşrutudur, firewall qaydası deyil.

Marşrutlaşdırılmış alternativ tərcümə əvəzinə uzaq tərəfdə geri dönüş marşrutu tələb edir. Heç bir variant firewall icazəsini və ya tətbiq hesabını təmin etmir, buna görə ünvan gizlətməni söndürmək heç bir yerə çata bilməyən tunel müştərisini demək olar ki, heç vaxt düzəltmir. IPv4 və IPv6 siyasətinə də ayrı yanaşın, çünki bir tərcümə parametri hər iki ailəni təsvir etmir.

Qərarı icazə verilən və rədd edilən sorğu ilə sübut edin

İcazə verilməli olan bir sorğu və rədd edilməli olan bir sorğu göndərin, sonra hər qərarı verən nəzarəti müəyyən edin. Təsadüfən yüklənən səhifə sübut deyil; sübut uyğun gələn qaydadır, uyğun gəldiyi zəncirdə. Rədd cavabı uğur qədər önəmlidir, çünki siyasətin hər şeyə icazə vermək əvəzinə nəsə etdiyini göstərir.

Cari buraxılışda iki əmr sizə bu sübutu verir. Uyğun qaydadakı sayğac sorğu qəbul edildikdə hərəkət edir və log qayda üçün qeydiyyatı aktivləşdirmisinizsə, düşməni göstərir:

nft list chain inet fw4 forward_wan
logread -f | grep -i -E 'DROP|REJECT'

Hər hansı firewall siyasətini dəyişməzdən əvvəl hələ istifadə edə bildiyiniz idarəetmə yolu saxlayın və konfiqurasiya sahibinin yoxlama və geri qaytarma prosesinə əməl edin. Sizi routerdən kənarda qoyan dəyişiklik test nəticəsi deyil, ikinci hadisədir. Hər müşahidənin yanında zonanı və trafik rolunu qeyd edin ki, nəticələr cütü şanslı səhifə yüklənməsini təsvir etmək əvəzinə siyasəti izah etsin.