İki OpenVPN paket yolunun Shorewall zonaları
Şifrələnmiş OpenVPN nəqliyyatını şifrəsi açılmış müştəri trafikindən ayırın, tunelə öz zonasını verin və müştərinin ehtiyac duyduğu yeganə xidmətə icazə verin.
İki paket axını OpenVPN-i sonlandıran Shorewall şlüzündən keçir və onlardan yalnız biri şifrələnib. Birincisi müştərinin internetə baxan interfeysdəki VPN dinləyicisinə nəqliyyatıdır. İkincisi tunel interfeysindən çıxan şifrəsi açılmış sorğudur — ofis serverinə və ya şlüzün üzərindəki xidmətə. Siyasəti redaktə etməzdən əvvəl hər ikisini xəritələyin, çünki birinciyə cavab verən qayda ikinci üçün heç nə etmir.
Siyasəti redaktə etməzdən əvvəl iki axını çəkin
Axınları mənbə, təyinat, protokol və port sütunları olan sətirlər kimi yazın. Xarici yolda mənbə müştərinin ictimai ünvanı, təyinat isə şlüzün dinləmə portudur; Shorewall bunu internetdən qoruyucu divara trafik kimi qəbul edir. Daxili yolda mənbə tunel ünvan aralığı, təyinat isə təsdiqlənmiş xidmətdir. Bir inzibatçı hər ikisini saxlasa belə, iki sətrin sahibləri fərqlidir.
| Flow | Zone relationship | What to constrain |
|---|---|---|
| Encrypted OpenVPN transport | Internet to the firewall host | The listener's actual protocol and port |
| Decrypted request to a LAN service | VPN clients to the LAN zone | One approved server and service |
| Decrypted request to the gateway | VPN clients to the firewall host | Only the local services required |
| Request to another VPN client | VPN clients to VPN clients | Denied unless deliberately required |
Sətri yalnız sorğu şlüzün özündə bitdikdə əlavə edin, məsələn həlledici və ya idarəetmə girişi. Host üzərindəki xidmət yönləndirilən yola deyil, host-giriş siyasətinə tabedir. İkisini qarışdırmaq dar tunel qaydasının idarəetmə interfeysini açıq qoyması ilə nəticələnir.
Tunel zonasını və interfeys əhatəsini təyin edin
Road-warrior zonası /etc/shorewall/zones faylında elan edilir, tunel interfeysi /etc/shorewall/interfaces faylında birləşdirilir, xarici bağlantı isə /etc/shorewall/tunnels faylında təsvir olunur. Quraşdırılmış buraxılışın sintaksisinə uyğunlaşın, çünki sütun sırası və seçim adları əsas versiyalar arasında dəyişib. Bələdçinin nümunə portu, daemonun həqiqətən dinlədiyi portdan fərqli porta icazə vermək üçün səbəb deyil. TCP və UDP yalnız rəqəmlər üst-üstə düşdüyü üçün bir-birini əvəz etmir.
Bələdçi interfeysləri tun+ ilə qruplaşdırır. Birdən çox tuneli olan hostda bu joker simvol fərqli etimad səviyyəli ikinci VPN-i eyni zonaya yerləşdirə bilər. Əhatəni faktiki mövcud interfeyslərlə müqayisə edərək nəzərdən keçirin və interfeys adlarını əl ilə redaktə etmək əvəzinə adlandırmanı bağlantı menecerinin həyat dövründə saxlayın.
Tarixi bələdçidə daha qədim OpenVPN konfiqurasiya nümunələri var və onun kripto məsləhətləri cari quraşdırmaya köçürülməməlidir. Əvəzində zona və axın modelini götürün. Kriptoqrafik əsası şlüzün saxlanılan OpenVPN siyasətindən götürün.
Yalnız təsnif etdiyiniz yola icazə verin
VPN zonasından LAN-a geniş icazə başlanğıc sxemidir, tam siyasət deyil. İcazə verilən müştəri mənbəyini, faktiki xidmət ünvanını, protokolu və portu yazın. Sonra onun üstündəki qaydaları və zona standartını oxuyun, çünki dar əlavə artıq uyğun gələn geniş icazəni ləğv etmir. Şlüz hostuna trafik ondan yönləndirilən trafikdən ayrı münasibətdir.
Müştəridən müştəriyə trafik öz qərarını tələb edir. OpenVPN-in client-to-client və Shorewall-ın routeback parametrləri müştərilərin bir-birinə çatıb-çatmadığına birlikdə təsir edir və heç biri yalnız bir LAN tətbiqini işlətmək üçün aktivləşdirilməməlidir. İzolyasiyanın harada tətbiq olunduğunu sınaqdan əvvəl qərarlaşdırın.
Cavab yolunu eyni planda saxlayın. Xidmət və ya onun marşrutlaşdırıcısı trafiki tunel aralığına necə qaytaracağını bilməlidir, və ya dizayn mənbəyi qəsdən və nəzərdə tutulan əhatədə çevirməlidir.
Doğrulayın, sonra hər iki yolu sübut edin
Heç nəyi yenidən başlatmazdan əvvəl konfiqurasiyanı doğrulayın və yeni siyasət səhv olarsa deyə müstəqil inzibati sessiyanı açıq saxlayın.
shorewall checkTəmiz yoxlamadan sonra konfiqurasiyanı tətbiq edin və Shorewall-ın nə yüklədiyini geri oxuyun. Bu oxumalar faylın dediyi görünəni deyil, işləyən siyasəti təsvir edir.
shorewall show zones
ip route get 192.168.10.20Eyni müştəridən bir yeni icazəli və bir qəsdən rədd edilmiş sorğunu sınayın. Uğurlu OpenVPN əl sıxması yalnız xarici mübadiləni sübut edir; icazə verilən xidmət və rədd edilən resurs nəzərdə tutduğunuz daxili siyasəti sübut edir. Sonra müştərini yenidən qoşun və təkrarlayın, çünki tunel interfeysinin adı və ünvanı sessiyalar arasında dəyişə bilər. Nəticə fərqlənirsə, qaydanı genişləndirmək əvəzinə zona əhatəsini düzəldin.