Rheol gwrandawr firewalld yn erbyn polisi anfon ymlaen: beth mae pob un yn ei wneud

Mae VPN sy'n cysylltu ond yn cyrraedd dim yn cael ei ddisgrifio fel arfer fel problem mur tân, a'r ateb y mae pobl yn ei gyrraedd yw rhoi'r rhyngwyneb twnnel mewn parth ymddiried. Mae hynny'n gweithio yn yr ystyr bod traffig yn dechrau llifo, ond mae hefyd yn derbyn llawer mwy na'r gwasanaeth a fwriadwyd. Mae'r ddau bolisi dan sylw yn wahanol: mae un yn derbyn y cludiant allanol i soced sy'n gwrando, a'r llall yn awdurdodi traffig dadgryptiedig i gyrraedd adnodd penodol. Trin y ddau fel un gosodiad sy'n troi caniatâd cul yn un llydan. Mae'r ddau yn cael eu penderfynu mewn gwahanol leoedd, a dyna pam mae'r camgymeriad mor hawdd.

Dau bolisi, un twnnel

Mae'r polisi allanol yn ateb cwestiwn syml: a all pecyn o'r ffynhonnell hon gyrraedd UDP 1194 ar y gwesteiwr hwn? Mae'r polisi mewnol yn ateb un arall: a all y cleient dilysedig y tu ôl i'r twnnel hwnnw gyrraedd y gyrchfan hon, gyda'r protocol hwn, ar y porth hwn? Mae'r cyntaf yn ymwneud â soced, mae'r ail yn ymwneud â llwybr, ac mae firewalld yn eu modelu gyda gwrthrychau gwahanol oherwydd eu bod yn cael eu penderfynu ar wahanol bwyntiau. Mae un yn briodwedd soced ar y gwesteiwr hwn, a'r llall yn briodwedd llwybr trwyddo.

Y canlyniad ymarferol yw nad yw twnnel sy'n gweithio yn dweud dim wrthych am yr ail bolisi, ac nad yw ail bolisi cywir yn gwneud yr un cyntaf yn ddiangen.

Derbyniwch y gwir wrandawr allanol

Dechreuwch drwy archwilio'r hyn sydd eisoes wedi'i aseinio yn lle cymryd yn ganiataol. Darllenwch y parthau gweithredol, rhestrwch y parth sy'n cario mewnlif go iawn, a gwiriwch y diffiniad gwasanaeth sydd wedi'i osod, oherwydd mae enw gwasanaeth yn disgrifio set o borthladdoedd ac yn dweud dim am a yw gwrandawr y gweinydd hwn yn cyfateb iddi.

firewall-cmd --get-active-zones
firewall-cmd --zone=public --list-all
firewall-cmd --info-service=openvpn

Os yw'r gwrandawr mewn gwirionedd yn UDP 1194 ar y parth hwnnw, agorwch y porthladd a'r cludiant hwnnw'n benodol, yna gwnewch yr un rheol benodol yn barhaus ar ôl ei phrofi. Gwiriwch aseiniadau sy'n seiliedig ar ffynhonnell hefyd, oherwydd gall parth sy'n rhwym wrth ystod ffynhonnell ddal y traffig cyn i barth y rhyngwyneb ei weld o gwbl.

Awdurdodwch y gyrchfan ddadgryptiedig ar wahân

Mae cysylltiad â gwasanaeth sy'n rhedeg ar weinydd y VPN ei hun yn bolisi mewnbwn lleol. Mae cysylltiad a anfonir ymlaen i westeiwr arall ar y LAN angen polisi anfon ymlaen, anfon ymlaen wedi'i alluogi yn y cnewyllyn, a llwybr ateb — tri gofyniad ar wahân y mae pobl yn aml yn eu cywasgu'n un. Mae gwrthrychau polisi firewalld modern yn disgrifio traffig cyfeiriadol rhwng parth mewnlif a pharth allbwn, a dyna'r lle cywir i fynegi pa ffynonellau VPN all gyrraedd pa wasanaethau preifat.

Diffiniwch y ffynonellau a ganiateir yn gyflym ac gadewch i bopeth arall ddisgyn i wadiad. Nid caniatâd ar gyfer y gwasanaeth allanol yw'r polisi hwnnw, waeth sut mae'r cynllun parthau yn edrych.

Pam mai ymddiried yn y rhyngwyneb yw'r llwybr byr anghywir

Mae rhoi'r rhyngwyneb twnnel mewn parth y mae ei darged yn derbyn popeth yn derbyn yr holl draffig dadgryptiedig i bob gwasanaeth y mae'r gwesteiwr yn ei ddatgelu, gan gynnwys rhai nad ydych wedi'u hadolygu. Mae ail-dargedu'r parth ymddiried i fod yn gyfyngol ar beiriant byw yn waeth, oherwydd efallai bod rhyngwynebau a ystodau ffynhonnell eraill eisoes yn dibynnu ar ei ystyr a byddant yn newid ymddygiad pan fyddwch yn ei olygu. Os oes angen polisi cul arnoch, crëwch un; peidiwch ag ailddefnyddio parth a rennir.

Cadwch aseiniad parth y twnnel yn sefydlog hefyd drwy ba bynnag gydran sy'n berchen ar y ffurfweddiad hwnnw. Mae colli'r aseiniad wrth ailgychwyn yn cynhyrchu methiant sy'n edrych fel problem rheol mur tân ac mewn gwirionedd yn broblem dyfalbarhad.

Gwiriwch dri pheth, gan gynnwys un gwadiad

Profwch y cysylltiad allanol o'r tu allan, profwch un gwasanaeth mewnol awdurdodedig o gleient cysylltiedig, a phrofwch un gwasanaeth a ddylai aros yn anghyrraeddadwy. Y trydydd prawf yw'r un sy'n gwahaniaethu polisi oddi wrth sgîl-effaith, a dyna'r un y mae pobl yn ei hepgor oherwydd bod popeth yn ymddangos yn gweithio. Os yw'r gwasanaeth a wrthodwyd yn ateb, rydych wedi derbyn parth yn hytrach na gwasanaeth.

Cofnodwch y parth, y porthladd, y cludiant a'r gwrthrych polisi yn nodiadau'r gweinydd. Fel arall bydd y newid nesaf ar y gwesteiwr hwn yn dechrau o'r un dyfaliad.