Firewall cwmwl yn erbyn firewall gwesteiwr ar gyfer gweinydd VPN

Caniatáu y porth VPN ym mholisi’r cwmwl a gall yr ysgwyd llaw farw ar y fangre o hyd: mae’r gwesteiwr yn rhedeg ei hidlydd ei hun a’i rwymiad gwrandawr ei hun, ac mae’r naill neu’r llall yn gallu taflu’r hyn y mae’r cwmwl wedi’i gymeradwyo. Digwydd y gwrthwyneb hefyd, pan fydd rheol gwesteiwr yn caniatáu’r porth ac mae polisi uwch yn ei daflu gyntaf. Dau berchnogir, dwy set reol, un llwybr pecyn. Cerddwch ef mewn trefn yn hytrach na dyfalu ar y haen fwyaf amheus.

Dechreuwch ar yr ymyl a cherdded i mewn

Mae’r drefn yn sefydlog: pwynt terfyn cyhoeddus, rhyngwyneb adnodd, polisi cwmwl cysylltiedig, cyfeiriad y gwesteiwr, gwrandawr y broses, rheolau mewnbwn lleol. Mae pob cam naill ai’n pasio’r pecyn neu’n diweddu’r ymchwiliad, a dyna pam mae dechrau gyda’r gwesteiwr yn gwastraffu’r mwyaf o amser.

Mae traffig cleient a anfonwyd ymlaen yn gam ar wahân, a archwilir ar ôl datgladdu’r tiwnel. Dim ond y tiwnel allanol y mae haen y cwmwl yn ei weld, felly gall gymeradwyo cysylltiad a heb unrhyw berthynas â chais gwasanaeth mewnol. Mae tiwnel sy’n cysylltu ond heb gyrraedd gwesteiwr mewnol fel arfer yn cyfeirio at anfon ymlaen, nid at borth caeëdig.

Darllenwch y polisi cwmwl cyn cyffwrdd y gwesteiwr

Cadarnhewch y rheol fewnbwn ar gyfer y porth VPN, ei brotocol, a’r cwmpas ffynhonnell sy’n cyd-fynd â’ch cleient prawf. Edrychwch ar restr rheoli mynediad yr is-rwyd hefyd: ail hidlydd â’i reolau a’i ragosodiadau ei hun. Rhaid i’r ddau ganiatáu’r llif cyn i becyn gyrraedd y fangre. Caniatâd yn y naill a gwrthodiad yn y llall yw siâp arferol y nam hwn.

Culhewch y cwmpas nes ei fod yn golygu rhywbeth. Mae agor y porth VPN i’r rhyngrwyd gyd oll yn hawdd ei brofi ac yn anodd ei amddiffyn, tra bo rheol wedi’i phinnu i un cyfeiriad yn torri pan fydd eich cleient prawf yn symud rhwydwaith. Nodwch adnabyddwr y rheol a pherchennog y polisi, fel bod y newid nesaf yn olrheiniadwy at berson.

Cadarnhewch y gwrandawr, yna’r gadwyn fewnbwn

Ar y fangre, gwiriwch fod y broses VPN wedi’i chlymu i’r cyfeiriad a’r porth rydych chi’n eu disgwyl, er enghraifft gyda ss -lntp 'sport = :1194'. Mae daemon sydd ond yn rhwym i 127.0.0.1 yn derbyn cleientiaid lleol a dim byd drwy’r tiwnel, sy’n edrych yn union fel porth wedi’i hidlo o’r tu allan.

Yna darllenwch y rheolau lleol yn y gystrawen y byddech yn ei defnyddio i’w newid, fel iptables -S INPUT neu nft list chain inet filter input. Mae rheol a ysgrifennwyd mewn ffeil ond na lwythwyd byth, neu ollwng rhagosodedig heb unrhyw ganiatâd cyfatebol, yn taflu pecynnau’n dawel. Ar gyfer porth trosglwyddo, gwiriwch y gosodiadau trosglwyddo a llwybr cefn hefyd. Maen nhw’n penderfynu beth sy’n digwydd i becynnau a lwybrwyd drwy’r fangre yn hytrach nag a gyfeiriwyd ati.

Cyflwr mewn un haen, heb gyflwr yn y nesaf

Mae grwpiau diogelwch yn cofio’r llifau y gwnaethant eu caniatáu ac yn gadael yr atebion yn ôl i mewn. Nid yw rhestrau rheoli mynediad is-rwyd a llawer o firewalls gwesteiwr yn cadw cyflwr o’r fath, felly mae rheol sy’n cwmpasu cyfeiriad allan yn unig yn pasio’r cais ac yn taflu’r ateb. Peidiwch byth â chario tybiaeth am draffig dychwelyd rhwng haenau heb ddarllen rheol yr ail haen (second layer's rule).

Mae cownteri yn setlo hyn yn gyflymach na darllen pob rheol yn y cyfrif. Mae cownter sy’n dringo yn golygu bod y pecyn wedi cyrraedd ac wedi’i daflu yno, tra bo un wedi’i rewi ar sero yn golygu na chyrhaeddodd mor bell; mae iptables -vnL INPUT a nft list ruleset yn dangos y cyfrifon hynny pan lwythwyd y rheolau gyda chownteri.

Profwch gyda sesiwn newydd, nid un fyw

Gadewch rwydwaith y ffynhonnell a’r proffil prawf yn llonydd wrth gymharu golygfeydd, ac agorwch gysylltiad newydd ar ôl pob newid. Nid yw cyrraedd y consol gwe ar 443 yn dweud dim am a yw daemon VPN wedi’i rwymo i 1194, felly profwch y porth sydd ei angen arnoch. Sesiwn bresennol yw’r tyst gwaethaf yma. Mae’n parhau i weithio tra bod pob mewngofnod newydd yn cael ei wrthod.

Cyn golygu polisi o bell, sicrhewch ffordd yn ôl nad yw’n dibynnu ar y llwybr rydych chi’n ei newid. Yna agorwch ail sesiwn weinyddol ochr yn ochr â’r prawf VPN: gall un a sefydlwyd yn gyntach oroesi’r rheol sy’n blocio rhai newydd. Cofnodwch berchennog y ddau bolisi fel na fydd unrhyw ailadeiladu yn adfer hanner y llwybr; os yw’r ddwy haen yn cytuno ac mae’r tiwnel yn dal i fethu, cipiwch ar ryngwyneb y gwesteiwr a gwirio’r cyfeiriad a’r porth y mae’r cleient yn eu defnyddio go iawn.