Shorewall zonak OpenVPN paketeen bi bideetarako
Bereizi OpenVPN garraio zifratua deskifratutako bezero-trafikotik, eman tunelari bere zona eta baimendu bezeroak behar duen zerbitzu bakarra.
Bi pakete-fluxuk OpenVPN amaitzen duen Shorewall atebide bat zeharkatzen dute, eta horietako bat bakarrik dago zifratuta. Lehenengoa bezeroaren garraioa da, internetera begira dagoen interfazean dagoen VPN entzulearenera. Bigarrena tunelaren interfazea uzten duen eskaera deskifratua da, bulegoko zerbitzari edo atebideko zerbitzu baterantz. Marraztu biak politika editatu aurretik, lehenengoa betetzen duen arauak ez baitu ezer egiten bigarrenerako.
Marraztu bi fluxuak politika editatu aurretik
Idatzi fluxuak errenkada gisa, iturria, helmuga, protokoloa eta portua jasota. Kanpoko bidean iturria bezeroaren helbide publikoa da eta helmuga atebidearen entzute-portua; Shorewall hori internetetik suebakira doan trafiko gisa tratatzen du. Barne-bidean iturria tunelaren helbide-tartea da eta helmuga onartutako zerbitzua. Bi errenkadek jabe desberdinak dituzte administratzaile bakarra biek mantentzen dituenean ere.
| Flow | Zone relationship | What to constrain |
|---|---|---|
| Encrypted OpenVPN transport | Internet to the firewall host | The listener's actual protocol and port |
| Decrypted request to a LAN service | VPN clients to the LAN zone | One approved server and service |
| Decrypted request to the gateway | VPN clients to the firewall host | Only the local services required |
| Request to another VPN client | VPN clients to VPN clients | Denied unless deliberately required |
Gehitu errenkada bat soilik eskaera atebidean bertan amaitzen denean, hala nola ebazpenerako edo kudeaketarako sarbidea. Ostalarian dagoen zerbitzuak ostalariaren sarrerako politika jarraitzen du, ez birbidalitako bidea. Biak nahastea da tunel-arau estuak kudeaketa-interfaze bat agerian uzten duenean gertatzen dena.
Esleitu tunelaren zona eta interfazearen irismena
Bidaiariaren zona /etc/shorewall/zones fitxategian deklaratzen da, tunelaren interfazea /etc/shorewall/interfaces fitxategian erantsita geratzen da, eta kanpoko konexioa /etc/shorewall/tunnels fitxategian deskribatzen da. Egokitu instalatutako bertsioaren sintaxira, zutabeen ordena eta aukeren izenak bertsio nagusien artean aldatu baitira. Gidak emandako portua ez da arrazoi portu ezberdin bat baimentzeko, daemonak benetan entzuten duen portuarena ez dena. TCP eta UDP ez dira trukagarriak zenbakiak bat etortzeagatik soilik.
Gidak interfazeak tun+ erabiliz taldekatzen ditu. Tunel bat baino gehiago dituen ostalari batean, komodin horrek beste konfiantza-maila bateko bigarren VPN bat jar dezake zona berean. Berrikusi irismena benetan dauden interfazeen aurka, eta eutsi izendapenari konexio-kudeatzailearen bizi-zikloaren barruan, interfazeen izenak eskuz editatu beharrean.
Gidak historikoak OpenVPN konfigurazio-laguntza askoz zaharragoak biltzen ditu, eta haren kriptografia-aholkuak ez lirateke oraingo ezarpen batean kopiatu behar. Hartu horren ordez zona eta fluxuen eredua. Hartu oinarri kriptografikoa atebidearen mantendutako OpenVPN politikatik.
Baimendu soilik sailkatu duzun bidea
VPN zonatik LANera onarpen zabala abiapuntuko eskema da, ez amaierako politika. Idatzi baimendutako bezero-iturria, zerbitzuaren benetako helbidea, protokoloa eta portua. Orduan irakurri haren gaineko arauak eta zonaren lehenetsia, gehitze estuak ez baitu jada bat datorren baimen zabala bertan behera uzten. Atebidearen ostalarirako trafikoa harekin birbidaltzen den trafikotik bereizitako harremana da.
Bezeroen arteko trafikoak bere erabakia behar du. OpenVPNren client-to-client eta Shorewallen routeback biak eragiten dute bezeroek elkar irits dezaketen, eta bat ere ez litzateke gaitu behar LAN aplikazio bat funtziona dezan soilik. Erabaki isolamendua non ezartzen den probatu aurretik.
Eduki erantzun-bidea plan berean. Zerbitzuak edo bere bideratzaileak jakin behar du trafikoa tunel-tartera nola itzuli, edo diseinuak iturria nahita itzuli behar du, aurreikusitako irismenaren barruan.
Balioztatu, eta gero frogatu bi bideak
Balioztatu konfigurazioa ezer berrabiarazi aurretik, eta eduki administrazio-saio independente bat irekita politika berria okerra bada.
shorewall checkEgiaztapen garbi baten ondoren, aplikatu konfigurazioa eta irakurri Shorewallek kargatu duena. Irakurketa horiek exekutatzen ari den politika deskribatzen dute, ez fitxategi batek ematen duen itxura.
shorewall show zones
ip route get 192.168.10.20Probatu eskaera baimendu berri bat eta nahita ukatutako eskaera bat bezero beretik. OpenVPN eskuko topaketa arrakastatsuak kanpoko trukea soilik frogatzen du; baimendutako zerbitzuak eta ukatutako baliabideak zuk nahi zenuen barne-politika frogatzen dute. Ondoren berriz konektatu bezeroa eta errepikatu, tunelaren interfazearen izena eta helbidea saioren artean alda baitaitezke. Emaitza desberdina bada, zuzendu zonaren irismena araua zabaldu beharrean.