Κανόνας ακροατή στο firewalld έναντι πολιτικής προώθησης: τι κάνει το καθένα

Ένα VPN που συνδέεται αλλά δεν φτάνει πουθενά περιγράφεται συνήθως ως πρόβλημα τείχους προστασίας, και η λύση στην οποία καταφεύγουν οι άνθρωποι είναι να βάλουν τη διεπαφή της σήραγγας σε μια έμπιστη ζώνη. Αυτό λειτουργεί με την έννοια ότι η κίνηση αρχίζει να ρέει, αλλά επιτρέπει επίσης πολύ περισσότερα από την προβλεπόμενη υπηρεσία. Οι δύο πολιτικές που εμπλέκονται είναι διαφορετικές: η μία επιτρέπει την εξωτερική μεταφορά προς μια υποδοχή που ακούει, και η άλλη εξουσιοδοτεί την αποκρυπτογραφημένη κίνηση να φτάσει σε έναν συγκεκριμένο πόρο. Το να τις αντιμετωπίζουμε ως μία ρύθμιση είναι αυτό που μετατρέπει μια στενή παραχώρηση σε ευρεία. Οι δύο αποφασίζονται σε διαφορετικά σημεία, γι' αυτό το λάθος είναι τόσο εύκολο.

Δύο πολιτικές, μία σήραγγα

Η εξωτερική πολιτική απαντά σε ένα απλό ερώτημα: μπορεί ένα πακέτο από αυτή την πηγή να φτάσει στο UDP 1194 σε αυτόν τον κεντρικό υπολογιστή; Η εσωτερική πολιτική απαντά σε άλλο: μπορεί ο πιστοποιημένος πελάτης πίσω από αυτή τη σήραγγα να φτάσει σε αυτόν τον προορισμό, με αυτό το πρωτόκολλο, σε αυτή τη θύρα; Το πρώτο αφορά μια υποδοχή, το δεύτερο μια διαδρομή, και το firewalld τα μοντελοποιεί με διαφορετικά αντικείμενα επειδή αποφασίζονται σε διαφορετικά σημεία. Το ένα είναι ιδιότητα υποδοχής σε αυτόν τον κεντρικό υπολογιστή, το άλλο ιδιότητα διαδρομής μέσα από αυτόν.

Η πρακτική συνέπεια είναι ότι μια σήραγγα που λειτουργεί δεν λέει τίποτα για τη δεύτερη πολιτική, και μια σωστή δεύτερη πολιτική δεν καθιστά την πρώτη περιττή.

Επιτρέψτε τον πραγματικό εξωτερικό ακροατή

Ξεκινήστε ελέγχοντας τι έχει ήδη εκχωρηθεί αντί να υποθέτετε. Διαβάστε τις ενεργές ζώνες, καταγράψτε τη ζώνη που πραγματικά μεταφέρει την εισερχόμενη κίνηση και ελέγξτε τον εγκατεστημένο ορισμό υπηρεσίας, γιατί το όνομα μιας υπηρεσίας περιγράφει ένα σύνολο θυρών και δεν λέει τίποτα για το αν ο ακροατής αυτού του διακομιστή ταιριάζει με αυτό.

firewall-cmd --get-active-zones
firewall-cmd --zone=public --list-all
firewall-cmd --info-service=openvpn

Αν ο ακροατής είναι πράγματι UDP 1194 σε αυτή τη ζώνη, ανοίξτε συγκεκριμένα αυτή τη θύρα και μεταφορά και μετά κάντε τον ίδιο συγκεκριμένο κανόνα μόνιμο αφού τον δοκιμάσετε. Ελέγξτε και τις εκχωρήσεις βάσει πηγής, γιατί μια ζώνη δεσμευμένη σε εύρος πηγών μπορεί να συλλάβει την κίνηση πριν τη δει ποτέ η ζώνη της διεπαφής.

Εξουσιοδοτήστε τον αποκρυπτογραφημένο προορισμό ξεχωριστά

Μια σύνδεση προς υπηρεσία που εκτελείται στον ίδιο τον διακομιστή VPN είναι πολιτική τοπικής εισόδου. Μια σύνδεση που προωθείται σε άλλον κεντρικό υπολογιστή στο LAN χρειάζεται πολιτική προώθησης, προώθηση ενεργοποιημένη στον πυρήνα και διαδρομή απάντησης — τρεις ξεχωριστές απαιτήσεις που οι άνθρωποι συχνά τις συμπτύσσουν σε μία. Τα σύγχρονα αντικείμενα πολιτικής του firewalld περιγράφουν κατευθυνόμενη κίνηση μεταξύ ζώνης εισόδου και ζώνης εξόδου, και εκεί είναι το σωστό σημείο να εκφραστεί ποιες πηγές VPN επιτρέπεται να φτάνουν σε ποιες ιδιωτικές υπηρεσίες.

Ορίστε ρητά τις επιτρεπόμενες πηγές και αφήστε όλα τα υπόλοιπα να πέσουν σε άρνηση. Μια παραχώρηση για την εξωτερική υπηρεσία δεν είναι αυτή η πολιτική, όσο κι αν το δείχνει η διάταξη των ζωνών.

Γιατί η εμπιστοσύνη στη διεπαφή είναι η λάθος συντόμευση

Το να βάλετε τη διεπαφή της σήραγγας σε μια ζώνη της οποίας ο στόχος δέχεται τα πάντα επιτρέπει όλη την αποκρυπτογραφημένη κίνηση προς κάθε υπηρεσία που εκθέτει ο κεντρικός υπολογιστής, ακόμη και σε όσες δεν έχετε ελέγξει. Το να επαναστοχεύσετε την έμπιστη ζώνη ώστε να είναι περιοριστική σε μηχάνημα που τρέχει είναι χειρότερο, γιατί άλλες διεπαφές και εύρη πηγών μπορεί ήδη να εξαρτώνται από τη σημασία της και θα αλλάξουν συμπεριφορά όταν την επεξεργαστείτε. Αν χρειάζεστε στενή πολιτική, δημιουργήστε μία· μην επαναχρησιμοποιείτε κοινόχρηστη ζώνη.

Διατηρήστε επίσης σταθερή την εκχώρηση ζώνης της σήραγγας μέσω οποιουδήποτε στοιχείου κατέχει αυτή τη διαμόρφωση. Η απώλεια της εκχώρησης κατά την επανεκκίνηση παράγει αποτυχία που μοιάζει με πρόβλημα κανόνα τείχους προστασίας και στην πραγματικότητα είναι πρόβλημα επιμονής.

Επαληθεύστε τρία πράγματα, μαζί με μία άρνηση

Δοκιμάστε την εξωτερική σύνδεση από έξω, δοκιμάστε μία εξουσιοδοτημένη εσωτερική υπηρεσία από συνδεδεμένο πελάτη και δοκιμάστε μία υπηρεσία που θα πρέπει να παραμείνει μη προσβάσιμη. Η τρίτη δοκιμή είναι αυτή που ξεχωρίζει μια πολιτική από μια παρενέργεια, και είναι αυτή που οι άνθρωποι παραλείπουν επειδή όλα φαίνονται να λειτουργούν. Αν η υπηρεσία που απορρίφθηκε απαντήσει, έχετε επιτρέψει μια ζώνη αντί για μια υπηρεσία.

Καταγράψτε τη ζώνη, τη θύρα, τη μεταφορά και το αντικείμενο πολιτικής στις σημειώσεις του διακομιστή. Διαφορετικά η επόμενη αλλαγή σε αυτόν τον κεντρικό υπολογιστή θα ξεκινήσει από την ίδια υπόθεση.