OpenVPN atebide bat LAN bakarrik mugatu UFW arauekin

Erabaki baimena suebaki-fitxategi bat ireki aurretik: autentifikatutako bezeroek azpisare zehatz baterako konexioak ireki ditzakete, eta atebideak beste edozein transitubide ukatu behar du, bezeroak bide gehigarriak instalatzen dituenean ere. Esaldi hori da diseinua, eta beheko arau bakoitza hura betetzeko dago. Zerbait zabalagoa, adibidez helbide pribatuen espazio osoa, tuneletik internetekiko irteera edo pareen arteko trafikoa, beste diseinu bat da eta bere erabakia behar du. Arauak nahita aspergarriak dira, suebaki azkarra inork geroago auditatu ezin duena baita.

Idatzi topologia eta baimena lehenengo

Adibideak Community OpenVPN zerbitzari bat erabiltzen du, erabiltzaile-espazioko TUN gailu bat izenekoa tun0, bezero-pool bat 10.77.0.0/24, eta konektatutako azpisare bat 192.168.60.0/24 honela: lan0. IPv4 birbidalketa dagoeneko funtzionatzen du eta LANak badu itzulera-bide bat poolera, beraz hemen ezer ez da bien arteko itzulpenaren mende.

UFW da ostalari honetako suebakiaren jabea, eta edukiontzi arau-multzo batek edo nftables taula bereizi batek ezin du onarpen-bide lehenagorik instalatu. Iragazkia saltatzen duen fluxu-deskargako lasterbide batek zaintza-kateak apaingarri bihurtuko lituzke, beraz egiaztatu bat ere ez dagoela aktibo. Utzi OpenVPNren beraren client-to-client birbidalketa desgaitua, zeren inoiz sistema eragilearen iragazkia zeharkatzen ez duen pareen arteko trafikoa ezin baita harekin mugatu. Kanpoko entzulea eta administrazio-arauak dauden bezala geratzen dira, aldaketa honek deszifratutako tunel-trafikoa gobernatzen baitu suebakia ordezkatu beharrean.

Jarri zaintzaileak UFWren hasierako onarpenen aurretik

Bide-baimen bat eta gero ukoa ez da nahikoa muga zorrotz baterako. Berezko before arauek ezarritako trafikoa eta ICMP batzuk onartzen dituzte edozein erabiltzaile-arau kontsultatu aurretik, beraz joan den astean baimendutako fluxu batek helburu-murrizketa berritik kanpo jarrai dezake oraindik egoera duelako soilik. Egin UFW fitxategien segurtasun-kopia eta eduki kanpo-bideko kontsol bat irekita editatu aurretik.

Fitxategiaren *filter atalean, /etc/ufw/before.rules deklaratu bi kate lehendik dauden deklarazioen ondoan eta edozein arau-lerroen aurretik.

:vpn-src-guard - [0:0]
:vpn-reply-guard - [0:0]

Deklarazioen ondoren berehala, eta sarrera eta birbidalketa baimenen aurretik, jauzi haietara eta definitu zer onartzen duten.

-A ufw-before-input -i tun0 -j DROP
-A ufw-before-forward -i tun0 -j vpn-src-guard
-A ufw-before-forward -o tun0 -j vpn-reply-guard

-A vpn-src-guard -o lan0 -d 192.168.60.0/24 -s 10.77.0.0/24 -m conntrack --ctdir ORIGINAL -j RETURN
-A vpn-src-guard -j DROP

-A vpn-reply-guard -i lan0 -d 10.77.0.0/24 -s 192.168.60.0/24 -m conntrack --ctstate RELATED,ESTABLISHED --ctdir REPLY -j RETURN
-A vpn-reply-guard -j DROP

Mantendu atalaren gainerakoa eta bere COMMIT lerroa. Bigarren iragazki-taula bat itsastea edo erlazionatutako arauak ezabatzea da suebaki-aldaketa geldialdi bihurtzeko bidea, eta fitxategia berrabiarazte batera dago garrantzitsua den kopia bakarra izatetik.

Irakurri zaintzaile bakoitzak zer onartzen eta ukatzen duen

Lehen kateak prozesatzen jarraitzen du iturria poolean dagoenean, helburua azpisare bakarra denean, irteera-interfazea LANa denean eta paketea bere fluxuaren jatorrizko norabidean doanean. Tunelatik datorren beste guztia baztertzen da, pooletik kanpoko iturria eta baimendutako azpisaretik harago dagoen edozein helburu barne.

Pare arteko pakete bat tun0 sartu eta irten egiten da, beraz LAN interfazearen proban huts egiten du helburu-egiaztapenera iritsi aurretik. LANetik bezeroetarako konexio berriek erantzun-norabidearen proban ere huts egiten dute, eta horrek atzerako deia-bidea ixten du lehenespenez.

RETURN helburuak UFWren ohiko politika jokoan mantentzen du. Kate hauek iragazten dute, eta geroago gehitzen duzun bide-baimenak erabakitzen du oraindik bizirik atera den pakete bat onartuko den. Bereizketa horri esker aldatu dezakezu baimendutako azpisarea leku bakarrean geroago. Zaintzaileek paketeak zuzenean onartuko balituzte, etorkizuneko arau bakoitza bi aldiz gehitu beharko litzateke.

Baimendu azpisarea eta itxi alboko ateak

Aurreikusi bide-baimena lehenik, eta gero kendu aurrebista-bandera aplikatzeko: sudo ufw --dry-run route allow in on tun0 out on lan0 from 10.77.0.0/24 to 192.168.60.0/24. Ondoren berrikusi erabiltzaile-arauen ordena, lehenagoko uko batek oraindik irabazten baitio geroagoko baimen bati. Azpisare osorako baimena ere forma okerra da ostalari bakarraren HTTPS ataka bakarrik irisgarria izan behar denean.

Ohartu zer egiten duen sarrera-bazterketak: tunel bezeroek ezin dute atebidearen beraren zerbitzuetara iritsi, bere LAN helbidera lotutako DNS entzule bat barne. Han DNS ostatatzeak nahita egindako salbuespen bat behar du bazterketaren aurretik eta berrikusitako baimen-kontratu bat. UFWk IPv6 kudeatzen badu, gehitu dagozkion bazterketak tun0 rako before6.rules fitxategian ere, IPv4 helburuen zerrendak ezer ez baitu esaten IPv6 paketeei buruz.

Egiaztatu kargatutako politika, ez aurrebista

Aurreikusi berriz kargatzea, aplikatu mantenimendu-leiho batean, eta irakurri zuzeneko arau-multzoa.

sudo ufw --dry-run reload
sudo ufw show raw

Egiaztatu tunel zaintzaileak lehenespenezko egoera eta ICMP baimenen aurretik agertzen direla. ufw status arruntak ez ditu eskuz editatutako before arauak erakusten, eta horregatik operadoreek arau bat falta dela ondorioztatzen dute, benetan kargatuta dagoenean. Irakurri zerrenda gordina goitik behera, ez bilatu zatiren bat. Zaintzaileak egoera-baimen baten ondoren agertzen badira, mugak ez du fitxategiak iradokitzen duena egiten.

Ondoren probatu portaera, ez testua. Ireki konexio berri bat baimendutako ostalari batera eta behatu erantzuna, bidali eskaera kaltegabe bat azpisaretik kanpoko helburu batera eta egiaztatu hiltzen dela, probatu pare arteko konexioa, probatu atebidean bertako zerbitzua, eta probatu eskatu gabeko LANetik bezeroarekiko konexioa. Sartu aldaketaren aurretik existitzen zen esparrutik kanpoko fluxu bat, eta garbitu fluxu hori bakarrik, makina osoaren jarraipen-taula hustu beharrean.

Idatzi mugak arauen ondoan: honek trantsitua mugatzen du eta besterik ez. Ez dio bezeroari bere internet konexioa erabiltzea galarazten, ez dio baimendutako LAN ostalariari trafikoa aurrera bidaltzea galarazten, eta ez du baimendutako zerbitzuen barneko autentifikazioa ordezkatzen.