Parthau Shorewall ar gyfer dau lwybr pecyn OpenVPN
Gwahanwch drafnidiaeth OpenVPN amgryptiedig oddi wrth draffig cleient wedi’i ddadgryptio, rhowch barth ei hun i’r tiwnel, a chaniatâwch yn unig y gwasanaeth y mae’r cleient ei angen.
Mae dau lif pecyn yn croesi’r giât Shorewall sy’n terfynu OpenVPN, a dim ond un ohonynt sydd wedi’i amgryptio. Y cyntaf yw trafnidiaeth y cleient i wrandawr VPN ar y rhyngwyneb sy’n wynebu’r rhyngrwyd. Yr ail yw ’r cais dadgryptiedig sy’n gadael rhyngwyneb y tiwnel tuag at weinydd swyddfa neu wasanaeth ar y giât. Mapwch y ddau cyn golygu’r polisi, oherwydd nid yw rheol sy’n bodloni’r cyntaf yn gwneud dim i’r ail.
Tynnwch y ddau lif cyn golygu’r polisi
Ysgrifennwch y llifau fel rhesi gyda ffynhonnell, cyrchfan, protocol a phorth. Ar y llwybr allanol, y ffynhonnell yw cyfeiriad cyhoeddus y cleient a’r gyrchfan yw porth y gwrandawr ar y giât; mae Shorewall yn trin hynny fel traffig rhyngrwyd-i-furwal. Ar y llwybr mewnol, y ffynhonnell yw amrediad cyfeiriadau’r tiwnel a’r gyrchfan yw’r gwasanaeth a gymeradwywyd. Mae gan y ddwy res berchnogion gwahanol hyd yn oed pan fo un gweinyddwr yn cynnal y ddwy.
| Flow | Zone relationship | What to constrain |
|---|---|---|
| Encrypted OpenVPN transport | Internet to the firewall host | The listener's actual protocol and port |
| Decrypted request to a LAN service | VPN clients to the LAN zone | One approved server and service |
| Decrypted request to the gateway | VPN clients to the firewall host | Only the local services required |
| Request to another VPN client | VPN clients to VPN clients | Denied unless deliberately required |
Ychwanegwch res yn unig os yw’r cais yn gorffen ar y giât ei hun, fel mynediad at ddatryswr neu reolaeth. Mae gwasanaeth ar y gwesteiwr yn dilyn polisi mewnbwn y gwesteiwr, nid y llwybr a anfonir ymlaen. Cymysgu’r ddau yw’r ffordd y mae rheol tiwnel gul yn y pen draw yn datgelu rhyngwyneb gweinyddol.
Neilltuwch barth y tiwnel ac amrediad y rhyngwyneb
Mae parth y teithiwr yn cael ei ddatgan yn /etc/shorewall/zones, mae rhyngwyneb y tiwnel yn cael ei atodi yn /etc/shorewall/interfaces, ac mae’r cysylltiad allanol yn cael ei ddisgrifio yn /etc/shorewall/tunnels. Cydweddwch â chystrawen y rhyddhau sydd wedi’i osod, oherwydd mae trefn y colofnau ac enwau’r opsiynau wedi newid rhwng prif fersiynau. Nid yw porth enghreifftiol y canllaw yn rheswm i ganiatáu porth gwahanol i’r un y mae’r daemon yn gwrando arno mewn gwirionedd. Nid yw TCP a UDP yn gyfnewidiol dim ond oherwydd bod y rhifau’n cyd-fynd.
Mae’r canllaw yn grwpio rhyngwynebau gyda tun+. Ar westeiwr sydd â mwy nag un tiwnel, gall y cardyn hwnnw osod ail VPN o lefel ymddiriedaeth wahanol yn yr un parth. Adolygwch yr amrediad yn erbyn y rhyngwynebau sy’n bodoli mewn gwirionedd, a chadwch yr enwi o dan gylch bywyd y rheolwr cysylltiadau yn lle golygu enwau rhyngwynebau â llaw.
Mae’r canllaw hanesyddol yn cynnwys samplau cyfluniad OpenVPN llawer hŷn, ac ni ddylid copïo ei gyngor cryptograffig i ddefnyddiad cyfredol. Benthyciwch y model parthau a llifau yn lle hynny. Cymerwch y sylfaen gryptograffig o bolisi OpenVPN a gynhelir ar y giât.
Caniatâwch yn unig y llwybr a ddosbarthwyd gennych
Mae derbyniad eang o barth VPN i LAN yn gynllun cychwynnol, nid polisi gorffenedig. Ysgrifennwch ffynhonnell y cleient a ganiateir, cyfeiriad gwirioneddol y gwasanaeth, y protocol a’r porth. Yna darllenwch y rheolau uwch ei ben a diofyn y parth, oherwydd nid yw ychwanegiad cul yn canslo caniatâd eang sy’n cyfateb yn barod. Mae traffig i westeiwr y giât yn berthynas ar wahân i draffig a anfonir ymlaen drwyddo.
Mae angen penderfyniad ei hun ar draffig cleient-i-gleient. Mae client-to-client OpenVPN a routeback Shorewall ill dau yn effeithio ar a all cleientiaid gyrraedd ei gilydd, ac ni ddylid galluogi’r naill na’r llall dim ond i wneud un cymhwysiad LAN yn gweithio. Penderfynwch ble y gorfodir ynysu cyn i chi ei brofi.
Cadwch y llwybr ateb yn yr un cynllun. Rhaid i’r gwasanaeth neu ei lwybrydd wybod sut i ddychwelyd traffig i amrediad y tiwnel, neu rhaid i’r dyluniad gyfieithu’r ffynhonnell yn fwriadol ac o fewn yr amrediad a fwriadwyd.
Dilyswch, yna profwch y ddau lwybr
Dilyswch y cyfluniad cyn ailgychwyn unrhyw beth, a chadwch sesiwn weinyddol annibynnol ar agor rhag ofn bod y polisi newydd yn anghywir.
shorewall checkAr ôl gwiriad glân, cymhwyswch y cyfluniad a darllenwch yn ôl yr hyn a lwythodd Shorewall. Mae’r darlleniadau hyn yn disgrifio’r polisi sy’n rhedeg yn hytrach na’r hyn y mae ffeil yn ymddangos yn ei ddweud.
shorewall show zones
ip route get 192.168.10.20Profwch un cais newydd a ganiateir ac un cais a wrthodwyd yn fwriadol o’r un cleient. Nid yw handshake llwyddiannus OpenVPN yn profi ond y gyfnewidfa allanol; mae’r gwasanaeth a ganiateir a’r adnodd a wrthodwyd yn profi’r polisi mewnol a fwriedid gennych. Yna ailgysylltwch y cleient ac ailadroddwch, oherwydd gall enw a chyfeiriad rhyngwyneb y tiwnel newid rhwng sesiynau. Os yw’r canlyniad yn wahanol, trwsiwch amrediad y parth yn lle ehangu’r rheol.