Shorewalli tsoonid kahe OpenVPN-i paketitee jaoks
Eraldage krüpteeritud OpenVPN-i transport dekrüpteeritud kliendiliiklusest, andke tunnelile oma tsoon ja lubage ainult see üks teenus, mida klient vajab.
Kaks paketivoolu läbivad Shorewalli lüüsi, mis lõpetab OpenVPN ühenduse, ja ainult üks neist on krüpteeritud. Esimene on kliendi transport interneti poole vaatava liidese VPN-kuulajani. Teine on dekrüpteeritud päring, mis väljub tunneliliidesest kontoriserveri või lüüsid oleva teenuse poole. Kaardistage mõlemad enne poliitika muutmist, sest reegel, mis rahuldab esimest, ei tee teise jaoks midagi.
Joonistage kaks voogu enne poliitika muutmist
Kirjutage vood ridadena, millel on allikas, sihtkoht, protokoll ja port. Välisel teel on allikas kliendi avalik aadress ja sihtkoht lüüsi kuulamisport; Shorewall käsitleb seda internetist tuleva liiklusena tulemüüri suunas. Sisemisel teel on allikas tunneli aadressivahemik ja sihtkoht heakskiidetud teenus. Kahel real on erinevad omanikud ka siis, kui üks administraator haldab mõlemat.
| Flow | Zone relationship | What to constrain |
|---|---|---|
| Encrypted OpenVPN transport | Internet to the firewall host | The listener's actual protocol and port |
| Decrypted request to a LAN service | VPN clients to the LAN zone | One approved server and service |
| Decrypted request to the gateway | VPN clients to the firewall host | Only the local services required |
| Request to another VPN client | VPN clients to VPN clients | Denied unless deliberately required |
Lisage rida ainult siis, kui päring lõpeb lüüsil endal, näiteks juurdepääs lahendajale või haldusele. Hosti teenus järgib hosti sisendipoliitikat, mitte edastatavat teed. Nende kahe segamine ongi see, kuidas kitsas tunnelireegel lõpuks haldusliidese paljastab.
Määrake tunnelitsoon ja liidese ulatus
Ränduri tsoon deklareeritakse failis /etc/shorewall/zones, tunneliliides lisatakse failis /etc/shorewall/interfaces ja välisühendus kirjeldatakse failis /etc/shorewall/tunnels. Kohanduge paigaldatud väljaande süntaksiga, sest veergude järjekord ja valikute nimed on põhiversioonide vahel muutunud. Juhendi näidisport ei ole põhjus lubada teist porti kui see, millel deemon tegelikult kuulab. TCP ja UDP ei ole vahetatavad ainult seetõttu, et numbrid kattuvad.
Juhend rühmitab liidesed mustriga tun+. Hostil, kus on rohkem kui üks tunnel, võib see metamärk paigutada teise, erineva usaldustasemega VPN-i samasse tsooni. Vaadake ulatus üle tegelikult olemasolevate liideste suhtes ja hoidke nimetamine ühenduste halduri elutsükli all, selle asemel et liidesenimesid käsitsi muuta.
Ajalooline juhend sisaldab palju vanemaid OpenVPN-i konfiguratsiooninäiteid ja selle krüptoalaseid nõuandeid ei tohiks praegusesse juurutusse kopeerida. Laenake selle asemel tsooni- ja voolumudelit. Krüptograafilise aluse võtke lüüsi hooldatavast OpenVPN-i poliitikast.
Lubage ainult tee, mille te klassifitseerisite
Lai VPN-tsoonist LAN-i lubamine on algne skeem, mitte valmis poliitika. Kirjutage lubatud kliendi allikas, tegelik teenuse aadress, protokoll ja port. Seejärel lugege selle kohal olevaid reegleid ja tsooni vaikeväärtust, sest kitsas täiendus ei tühista laia luba, mis juba sobib. Liiklus lüüsi hosti suunas on eraldi suhe liiklusest, mida selle kaudu edastatakse.
Kliendilt kliendile liiklus vajab oma otsust. OpenVPN-i client-to-client ja Shorewalli routeback mõjutavad mõlemad, kas kliendid üksteiseni jõuavad, ja kumbagi ei tohiks lubada ainult selleks, et üks LAN-rakendus töötaks. Otsustage, kus isolatsiooni rakendatakse, enne kui seda testite.
Hoidke vastusetee samas plaanis. Teenus või selle ruuter peab teadma, kuidas liiklust tunnelivahemikku tagasi saata, või peab kavand allika teadlikult teisendama ja kavandatud ulatuse piires.
Valideerige ja tõestage seejärel mõlemad teed
Valideerige konfiguratsioon enne millegi taaskäivitamist ja hoidke sõltumatu haldusseanss avatuna, kui uus poliitika on vale.
shorewall checkPärast puhast kontrolli rakendage konfiguratsioon ja lugege tagasi, mille Shorewall laadis. Need lugemised kirjeldavad töötavat poliitikat, mitte seda, mida fail näib ütlevat.
shorewall show zones
ip route get 192.168.10.20Testige üht värsket lubatud päringut ja üht teadlikult keelatud päringut samalt kliendilt. Õnnestunud OpenVPN-i kätlus tõestab ainult välist vahetust; lubatud teenus ja keelatud ressurss tõestavad sisemist poliitikat, mida kavatsesite. Seejärel ühendage klient uuesti ja korrake, sest tunneliliidese nimi ja aadress võivad seansside vahel muutuda. Kui tulemus erineb, parandage tsooni ulatust, mitte laiendage reeglit.