OpenWrt VPN gunea, birbidalketa eta helbide-ezkutatzea: zein behar duzu?
Gune-sarrerak, birbidalketak eta helbide-ezkutatzeak galdera desberdinei erantzuten diete. Erabaki zure VPN trafikoak zer behar duen WAN gunea ireki aurretik.
Hiru aldaketa nahasten dira VPN bat OpenWrt-rekin topatzen den bakoitzean: ataka bat irekitzea, birbidalketa baimentzea eta helbide-ezkutatzea piztea. Galdera desberdinei erantzuten diete, eta normalean horietako bat baino ez da benetako baldintza. Kontrol bakoitza gobernatzen duen trafiko-rolaren arabera irakurtzeak susmoa erabaki bihurtzen du, eta aldaketa okerra denean zein sintoma espero duzun ere esaten dizu. Huts egin duen rola izendatzen hasi, gogoratzen duzun kontrol-laukia ez.
Izenda ezazu trafiko-rola kontrol bat ukitu aurretik
Gune-sarrerak erabakitzen du zer irits daitekeen routerrera bertara. Gune-irteerak routerrak berak sortutako trafikoa hartzen du, gune-birbidalketa gune bat zeharkatzen duen trafikoaren lehenespena da, eta helbide-ezkutatzeak erabakitzen du irteeran jatorrizko helbidea berridatziko den. Lau galdera desberdin dira, eta gune-politika batek guztiei erantzuten die aldi berean balio berarekin, horregatik gune osoan egindako aldaketa tresna gordina da. Izena duen arau batek horietako bati erantzun diezaioke gainerakoak ukitu gabe.
Mapa erabilgarria trafiko-rolaren araberakoa da, hori baita zerbait huts egiten duenean behatu dezakezuna. Beheko rol bakoitzak hura erabakitzen duen kontrol bat eta hura seinalatzen duen sintoma bat ditu:
| Traffic role | Control that decides it | Where it lives in the config | Symptom when it is wrong |
|---|---|---|---|
| A client reaching a listener on the router | Input policy of the zone that carries the connection, or a rule for the port | option input in the zone stanza, or a named rule | The handshake never completes and the tunnel log says nothing |
| A tunnel client reaching the router itself | Input policy of the tunnel zone | option input in the VPN zone | A ping to the gateway fails |
| A tunnel client reaching another LAN host | Forwarding from the tunnel zone to the LAN zone | config forwarding plus the zone assignment | The gateway answers and the file share times out |
| The router's own traffic leaving the WAN | Output policy, and translation if the far side needs it | option output and option masq | The tunnel never establishes, or replies vanish |
Routerrean entzuten duen zerbitzuak sarrera-arau estu bat behar du
Routerrean dagoen OpenVPN zerbitzari batek routerrera zuzendutako trafikoa jasotzen du, beraz haren kanpoko konexioa hura daraman gunearen sarrera-politikaren mende dago. Baimendu konfiguratutako garraioa eta ataka, eta utzi gune horretako gainerako guztia baztertuta. Ataka-arau bakarra gune osoan egindako onarpena baino aldaketa askoz txikiagoa da, eta urtebete geroago oraindik azaldu ahal izango duzun araua da.
Bi gauzak egiten dute arau hori mantentzeko segurua: zerbitzuak benetan erabiltzen duen ataka izendatzen du, eta gunearen definizioaren ondoan dago, hurrengo pertsonak zergatik dagoen ikus dezan. Beheko lerroak forma dira, atakak zerbitzarian konfiguratuta dagoena ordezkatzen duela. Aldatu ataka hori bi lekuetan zerbitzua lekuz aldatzen denean, ataka zaharrean geratzen den araua ikusezina baita ikuskatzera arte.
config zone
option name 'wan'
option input 'REJECT'
option forward 'REJECT'
option output 'ACCEPT'
option masq '1'
config rule
option name 'allow-openvpn'
option src 'wan'
option proto 'udp'
option dest_port '1194'
option target 'ACCEPT'Egiaztatu berriro kargatu aurretik, suebaki-fitxategi bateko sintaxi-errore batek routerra arau-multzo funtzionalik gabe utz baitezake. fw4 erabiltzen duen bertsio batean egiaztapena komando bereizia da, eta ozen egiten du huts, bloke hautsia isilik onartu beharrean. Berriro kargatu egiaztapena pasa ondoren soilik, eta gorde aurreko fitxategia berrezarri ahal izateko lekuan.
fw4 check
service firewall reloadBezeroaren eskaerak birbidalketa zeharkatzen du, ez sarrera
Autentifikazioaren ondoren, LAN zerbitzu bat eskatzen duen tunel-bezero baten eskaerak birbidalitako fluxua sortzen du, beraz hura erabakitzen duen kontrola tunel-gunearen eta LAN gunearen arteko birbidalketa-harremana da. Esleitu tunel-interfazea nahi duzun guneari, eta gero adierazi norabidea, iturburuak eta zerbitzua. Gune-esleipenak ematen dio zentzua birbidalketa-arauari, eta biak elkarrekin irakurrita baino ez dute zentzurik. Tunel-gunea iturburu eta LAN gunea helmuga izendatzen dituen birbidalketa-harremana erabaki kontziente bat bezala irakurtzen da, gune osoan egindako bi onarpen istripu bezala irakurtzen diren bitartean.
Routerrera bertara iristeak sarrera-bidea erabiltzen du oraindik, horregatik atebidera egindako ping batek ez du ezer esaten haren atzean dagoen fitxategi-konpartitzeaz. Bi hutsegite horiek bloke desberdinetan bizi dira eta aldaketa desberdinekin konpontzen dira. Idatzi bi bideak bereiz, horietako edozein aldatu aurretik.
Helbide-ezkutatzea bideratze-erabakia da, ez baimena
Helbide-ezkutatzeak hautatutako irteerako trafikoaren jatorrizko helbidea berridazten du. Irteera-diseinu bat salba dezake urruneko aldeak itzulera-biderik ez duenean, eta bezero indibidualen helbideak ezkutatzen ditu helbideak erregistratzen edo helbidearen arabera baimena ematen duen edozein zerbitzutik. Hura desaktibatzea itzulera-bideari buruzko bideratze-hautua da, ez sarrera-zulo bat ixten duen segurtasun-etengailua. Itzulpenean piztuta dagoela funtzionatzen duen eta desaktibatzean huts egiten duen tunel batek, normalean, falta den itzulera-bide bat du, ez falta den suebaki-arau bat.
Bideratutako alternatibak itzulpenaren ordez itzulera-bidea behar du urruneko aldean. Bi aukerek ez dute suebaki-baimena ez aplikazio-kontua ematen, horregatik helbide-ezkutatzea desaktibatzeak ia inoiz ez du konpontzen ezer iritsi ezin duen tunel-bezero bat. IPv4 eta IPv6 politikak bereiz landu itzazu, itzulpen-ezarpen batek ez baitu bi familia deskribatzen.
Frogatu erabakia onartutako eskaera batekin eta baztertutako beste batekin
Bidali onartu behar litzatekeen eskaera bat eta baztertu behar litzatekeen beste bat, eta gero identifikatu erabaki bakoitza hartu zuen kontrola. Halabeharrez kargatzen den orria ez da froga; froga bat etorri zen araua da, bat etorri zen katean. Bazterketak arrakastak adina balio du, politikak zerbait egiten duela erakusten baitu, dena baimenduta egon beharrean.
Bi komandok froga hori ematen dizute uneko bertsio batean. Bat datozen arauko kontagailua mugitu egiten da eskaera onartzen denean, eta erregistroak bazterketa erakusten du araurako erregistroa gaitu baduzu:
nft list chain inet fw4 forward_wan
logread -f | grep -i -E 'DROP|REJECT'Mantendu oraindik erabil dezakezun administrazio-bide bat edozein suebaki-politika aldatu aurretik, eta jarraitu konfigurazioaren jabearen egiaztatze- eta atzera-egite-prozesua. Routerretik kanpo uzten zaituen aldaketa bat ez da proba-emaitza, bigarren gertaera baizik. Idatzi gunea eta trafiko-rola behaketa bakoitzaren ondoan, emaitzen bikoteak politika azal dezan, zortezko orri-karga bat deskribatu beharrean.