Cyfyngu porth OpenVPN i un LAN gyda rheolau UFW

Penderfynwch y caniatâd cyn i chi agor ffeil mur tân: caiff cleientiaid dilys agor cysylltiadau i un is-rwydwaith penodol, a rhaid i'r porth wrthod pob llwybr tramwy arall hyd yn oed pan fydd cleient yn gosod llwybrau ychwanegol. Y frawddeg honno yw'r dyluniad, ac mae pob rheol isod yn bodoli i'w gorfodi. Mae unrhyw beth ehangach, fel yr holl ofod cyfeiriadau preifat, allanfa i'r rhyngrwyd drwy'r twnnel neu draffig cymar-i-gymar, yn ddyluniad gwahanol sy'n gofyn am ei benderfyniad ei hun. Mae'r rheolau hefyd yn fwriadol ddiflas, oherwydd mur tân clyfar yw un na all neb ei archwilio'n ddiweddarach.

Ysgrifennwch y topoleg a'r caniatâd yn gyntaf

Mae'r enghraifft yn defnyddio gweinydd Community OpenVPN gyda dyfais TUN gofod defnyddiwr o'r enw tun0, pwll cleientiaid 10.77.0.0/24, ac un is-rwydwaith atodedig 192.168.60.0/24 ar lan0. Mae anfon ymlaen IPv4 eisoes yn gweithio ac mae gan y LAN lwybr dychwelyd i'r pwll yn barod, felly nid oes dim yma yn dibynnu ar gyfieithu rhyngddynt.

UFW sy'n berchen ar y mur tân ar y gwesteiwr hwn, ac ni chaiff unrhyw set rheolau cynhwysydd na thabl nftables ar wahân osod llwybr derbyn cynharach. Byddai llwybr byr dadlwytho ffrwd sy'n hepgor y hidlydd yn gwneud y cadwyni gwarchod yn addurniadol, felly cadarnhewch nad oes yr un yn weithredol. Gadewch anfon ymlaen client-to-client OpenVPN ei hun wedi'i analluogi, oherwydd ni ellir ffinio traffig cymar-i-gymar nad yw byth yn croesi hidlydd y system weithredu ag ef. Mae'r gwrandäwr allanol a'r rheolau gweinyddu yn aros fel y maent, gan fod y newid hwn yn llywodraethu traffig twnnel dadgryptio yn hytrach na disodli'r mur tân.

Rhowch y gwarchodwyr o flaen derbyniadau cynnar UFW

Nid yw caniatâd llwybr ac yna gwrthodiad yn ddigon ar gyfer ffin lem. Mae rheolau before safonol yn derbyn traffig sefydledig a rhai ICMP cyn i unrhyw reol defnyddiwr gael ei hystyried, felly gall ffrwd a ganiatawyd yr wythnos diwethaf aros y tu allan i'r cyfyngiad cyrchfan newydd dim ond oherwydd bod ganddi gyflwr o hyd. Gwnewch gopi wrth gefn o ffeiliau UFW a chadwch gonsol all-linyn ar agor cyn golygu.

Yn adran *filter y ffeil /etc/ufw/before.rules, datganwch ddwy gadwyn wrth ymyl y datganiadau presennol a chyn unrhyw linell reol.

:vpn-src-guard - [0:0]
:vpn-reply-guard - [0:0]

Yn syth ar ôl y datganiadau, a chyn y caniatadau mewnbwn ac anfon ymlaen, neidiwch i mewn iddynt a diffinio'r hyn y maent yn ei addef.

-A ufw-before-input -i tun0 -j DROP
-A ufw-before-forward -i tun0 -j vpn-src-guard
-A ufw-before-forward -o tun0 -j vpn-reply-guard

-A vpn-src-guard -o lan0 -d 192.168.60.0/24 -s 10.77.0.0/24 -m conntrack --ctdir ORIGINAL -j RETURN
-A vpn-src-guard -j DROP

-A vpn-reply-guard -i lan0 -d 10.77.0.0/24 -s 192.168.60.0/24 -m conntrack --ctstate RELATED,ESTABLISHED --ctdir REPLY -j RETURN
-A vpn-reply-guard -j DROP

Cadwch weddill yr adran a'i llinell COMMIT. Gludo ail dabl hidlo neu ddileu rheolau di-gysylltiad yw sut mae newid mur tân yn troi'n fethiant gwasanaeth, ac mae'r ffeil un ailgychwyn oddi wrth fod yr unig gopi sy'n bwysig.

Darllenwch beth mae pob gwarchodwr yn ei addef a'i wrthod

Dim ond pan fo'r ffynhonnell yn y pwll, y gyrchfan yw'r un is-rwydwaith, y rhyngwyneb ymadael yw'r LAN a'r pecyn yn teithio yn nghyfeiriad gwreiddiol ei ffrwd y mae'r gadwyn gyntaf yn parhau i brosesu. Mae popeth arall sy'n cyrraedd o'r twnnel yn cael ei ollwng, gan gynnwys ffynhonnell y tu allan i'r pwll ac unrhyw gyrchfan y tu hwnt i'r is-rwydwaith a ganiateir.

Mae pecyn cymar-i-gymar yn mynd i mewn ac yn gadael tun0, felly mae'n methu prawf rhyngwyneb y LAN cyn i wiriad cyrchfan gael ei gyrraedd hyd yn oed. Mae cysylltiadau newydd o'r LAN tuag at gleientiaid yn methu prawf cyfeiriad yr ateb hefyd, sy'n cau'r llwybr galwad-yn-ôl yn ôl y rhagosodiad.

Mae'r targed RETURN yn cadw polisi arferol UFW mewn grym. Mae'r cadwyni hyn yn hidlo, ac mae'r caniatâd llwybr a ychwanegwch nesaf yn dal i benderfynu a dderbynnir pecyn sy'n goroesi. Y gwahanu hwnnw sy'n eich galluogi i newid yr is-rwydwaith a ganiateir mewn un man yn ddiweddarach. Pe bai'r gwarchodwyr yn derbyn pecynnau'n syth, byddai'n rhaid ychwanegu pob rheol yn y dyfodol ddwywaith.

Awdurdodwch yr is-rwydwaith a chaewch y drysau ochr

Rhagolwgwch ganiatâd y llwybr yn gyntaf, yna gollyngwch y fflag rhagolwg i'w gymhwyso: sudo ufw --dry-run route allow in on tun0 out on lan0 from 10.77.0.0/24 to 192.168.60.0/24. Wedyn adolygwch drefn y rheolau defnyddiwr, oherwydd mae gwrthodiad cynharach yn dal i guro caniatâd diweddarach. Mae caniatâd ar gyfer yr is-rwydwaith gyfan hefyd yn siâp anghywir pan mai dim ond porth HTTPS un gwesteiwr ddylai fod yn gyrraeddadwy.

Sylwch beth mae gollwng y mewnbwn yn ei wneud: ni all cleientiaid y twnnel gyrraedd unrhyw wasanaeth ar y porth ei hun, gan gynnwys gwrandäwr DNS sydd wedi'i rwymo i'w gyfeiriad LAN. Mae cynnal DNS yno yn gofyn am eithriad bwriadol cyn y gollwng a chontract caniatâd wedi'i ddiwygio. Os yw UFW yn rheoli IPv6, ychwanegwch ollyngiadau cyfatebol ar gyfer tun0 yn before6.rules hefyd, oherwydd nid yw rhestr cyrchfannau IPv4 yn dweud dim am becynnau IPv6.

Gwiriwch y polisi a lwythwyd, nid y rhagolwg

Rhagolwgwch yr ail-lwytho, ei gymhwyso mewn ffenestr gynnal a chadw, a darllen y set rheolau fyw.

sudo ufw --dry-run reload
sudo ufw show raw

Cadarnhewch fod gwarchodwyr y twnnel yn ymddangos cyn y caniatadau cyflwr a ICMP rhagosodedig. Nid yw ufw status plaen yn dangos rheolau before a olygwyd â llaw, a dyna pam mae gweithredwyr yn casglu bod rheol ar goll pan fo hi mewn gwirionedd wedi'i llwytho. Darllenwch y rhestr amrwd o'r top i'r gwaelod yn hytrach na chwilio am ddarn. Os yw'r gwarchodwyr yn ymddangos ar ôl caniatâd cyflwr, nid yw'r ffin yn gwneud yr hyn y mae'r ffeil yn ei awgrymu.

Yna profwch ymddygiad yn hytrach na thestun. Agorwch gysylltiad newydd i westeiwr a ganiateir a gwyliwch yr ateb, cyfeiriwch gais diniwed at gyrchfan y tu allan i'r is-rwydwaith a chadarnhewch ei fod yn marw, rhowch gynnig ar gysylltiad cymar-i-gymar, rhowch gynnig ar wasanaeth lleol i'r porth, a rhowch gynnig ar gysylltiad LAN-i-gleient heb ei ofyn. Cynhwyswch un ffrwd y tu allan i'r cwmpas a oedd yn bodoli cyn y newid, a chliriwch y ffrwd honno'n unig yn hytrach na fflysio tabl olrhain cyfan y peiriant.

Cofnodwch y terfynau wrth ymyl y rheolau: mae hyn yn ffinio tramwy a dim byd arall. Nid yw'n atal cleient rhag defnyddio ei gysylltiad rhyngrwyd ei hun, nid yw'n atal gwesteiwr LAN a ganiateir rhag anfon traffig ymlaen, ac nid yw'n disodli dilysu o fewn y gwasanaethau a ganiateir.