firewalld-eko entzulearen araua eta birbidalketa-politika: bakoitzak zer egiten duen

Konektatzen den baina inora iristen ez den VPN bat suebaki-arazo gisa deskribatzen da normalean, eta jendeak hartzen duen konponbidea tunelaren interfazea zona fidagarri batean jartzea da. Horrek funtzionatzen du trafikoa hasi egiten dela esateko, baina aurreikusitako zerbitzua baino askoz gehiago onartzen du. Parte hartzen duten bi politikak desberdinak dira: batek kanpoko garraioa entzuten ari den socket batera onartzen du, eta besteak deszifratutako trafikoak baliabide jakin batera iristea baimentzen du. Biak ezarpen bakar bat balira bezala tratatzea da baimen estua zabal bihurtzen duena. Biak leku desberdinetan erabakitzen dira, eta horregatik da hain erraza akatsa egitea.

Bi politika, tunel bat

Kanpoko politikak galdera sinple bati erantzuten dio: iturri honetako pakete bat irits daiteke UDP 1194-era host honetan? Barruko politikak beste bati erantzuten dio: tunel horren atzeko bezero autentifikatuak helmuga honetara irits daiteke, protokolo honekin, portu honetan? Lehenengoa socket bati buruzkoa da, bigarrena bide bati buruzkoa, eta firewalld-k objektu desberdinekin modelatzen ditu, puntu desberdinetan erabakitzen baitira. Bata host honetako socket baten propietatea da, bestea hortik igarotzen den bide batena.

Ondorio praktikoa da funtzionatzen duen tunel batek ezer esaten ez duela bigarren politikari buruz, eta bigarren politika zuzenak ez duela lehenengoa beharrezkoa ez denik egiten.

Onartu kanpoko benetako entzulea

Hasi jada esleituta dagoena aztertzen, suposatu beharrean. Irakurri zona aktiboak, zerrendatu sarrera benetan daraman zona eta egiaztatu instalatutako zerbitzuaren definizioa, zerbitzu-izen batek portu-multzo bat deskribatzen baitu eta ez baitu ezer esaten zerbitzari honen entzulea harekin bat datorren ala ez.

firewall-cmd --get-active-zones
firewall-cmd --zone=public --list-all
firewall-cmd --info-service=openvpn

Entzulea benetan UDP 1194 bada zona horretan, ireki zehazki portu eta garraio hori, eta gero egin berdin zehaztutako araua iraunkorra probatu ondoren. Egiaztatu iturrietan oinarritutako esleipenak ere, iturri-tarte bati lotutako zona batek trafikoa harrapa baitu interfaze-zonak ikusi aurretik.

Baimendu deszifratutako helmuga bereizita

VPN zerbitzarian bertan exekutatzen den zerbitzu baterako konexioa sarrera lokaleko politika da. LANeko beste host batera birbidaltzen den konexioak birbidalketa-politika behar du, kernelen gaitutako birbidalketa eta erantzun-bide bat — hiru baldintza bereizi, jendeak askotan batean batzen dituenak. firewalld-ko politika-objektu modernoek sarrera-zona eta irteera-zona arteko trafiko zuzendua deskribatzen dute, eta hori da VPN iturri zein zerbitzu pribatutara irits daitezkeen adierazteko leku egokia.

Definitu baimendutako iturriak modu esplizituan eta utzi gainerako guztia ukapenean erortzen. Kanpoko zerbitzurako baimena ez da politika hori, zona-egiturak nola ematen duen ere.

Zergatik den interfazean fidatzea bide okerra

Tunelaren interfazea xedeak dena onartzen duen zona batean jartzeak host-ak erakusten duen zerbitzu guztietara onartzen du deszifratutako trafiko guztia, berrikusi ez dituzunetara barne. Zona fidagarria makina bizian murriztaile birbideratzea okerragoa da, beste interfaze eta iturri-tarte batzuk bere esanahian oinarrituta egon baitaitezke eta portaera aldatuko baitute editatzen duzunean. Politika estua behar baduzu, sortu bat; ez berrerabili partekatutako zona bat.

Mantendu tunelaren zona-esleipena egonkor konfigurazio horren jabe den edozein osagairen bidez. Berrabiaraztean esleipena galtzeak suebaki-arau baten arazo dirudien baina benetan iraunkortasun-arazoa den hutsegitea eragiten du.

Egiaztatu hiru gauza, ukapen bat barne

Probatu kanpoko konexioa kanpotik, probatu baimendutako barruko zerbitzu bat konektatutako bezero batetik, eta probatu zerbitzu bat iritsiezina izan beharko lukeena. Hirugarren proba politika bat bigarren mailako efektu batetik bereizten duena da, eta jendeak hura saltatzen du dena funtzionatzen ari dela ematen baitu. Ukatutako zerbitzuak erantzuten badu, zona bat onartu duzu, ez zerbitzu bat.

Idatzi zona, portua, garraioa eta politika-objektua zerbitzariaren oharretan. Bestela, host honetako hurrengo aldaketa uste beretik hasiko da.