firewalldin kuuntelusääntö vastaan edelleenohjauskäytäntö: mitä kumpikin tekee

VPN, joka yhdistää mutta ei tavoita mitään, kuvataan yleensä palomuuriongelmaksi, ja ratkaisu, johon ihmiset tarttuvat, on tunnelin rajapinnan sijoittaminen luotettuun vyöhykkeeseen. Se toimii siinä mielessä, että liikenne alkaa virrata, mutta se myös sallii paljon enemmän kuin aiottu palvelu. Kaksi asiaan liittyvää käytäntöä ovat erilaisia: toinen sallii ulomman kuljetuksen kuuntelevaan pistokkeeseen ja toinen valtuuttaa salatun liikenteen saavuttamaan tietyn resurssin. Niiden kohteleminen yhtenä asetuksena on se, mikä muuttaa kapean sallinnan laajaksi. Molemmat päätetään eri paikoissa, minkä vuoksi virhe on niin helppo tehdä.

Kaksi käytäntöä, yksi tunneli

Ulompi käytäntö vastaa yksinkertaiseen kysymykseen: saako tästä lähteestä tuleva paketti saavuttaa UDP 1194 tällä isännällä? Sisempi käytäntö vastaa toiseen: saako tämän tunnelin takana oleva todennettu asiakas saavuttaa tämän kohteen tällä protokollalla tällä portilla? Ensimmäinen koskee pistoketta, toinen polkua, ja firewalld mallintaa ne eri olioilla, koska ne päätetään eri pisteissä. Toinen on tämän isännän pistokkeen ominaisuus, toinen sen läpi kulkevan polun ominaisuus.

Käytännön seuraus on, että toimiva tunneli ei kerro mitään toisesta käytännöstä, eikä oikea toinen käytäntö tee ensimmäistä tarpeettomaksi.

Salli todellinen ulompi kuuntelija

Aloita tutkimalla, mitä on jo osoitettu, sen sijaan että olettaisit. Lue aktiiviset vyöhykkeet, luettele vyöhyke, joka todella kantaa saapuvan liikenteen, ja tarkista asennettu palvelumääritelmä, sillä palvelun nimi kuvaa joukon portteja eikä kerro mitään siitä, vastaako tämän palvelimen kuuntelija sitä.

firewall-cmd --get-active-zones
firewall-cmd --zone=public --list-all
firewall-cmd --info-service=openvpn

Jos kuuntelija on todella UDP 1194 kyseisellä vyöhykkeellä, avaa täsmälleen se portti ja kuljetus ja tee sitten samasta täsmällisestä säännöstä pysyvä testaamisen jälkeen. Tarkista myös lähdeperusteiset osoitukset, sillä lähdealueeseen sidottu vyöhyke voi napata liikenteen ennen kuin rajapintavyöhyke edes näkee sen.

Valtuuta salattu kohde erikseen

Yhteys VPN-palvelimella itsellään toimivaan palveluun on paikallisen syötteen käytäntö. Yhteys, joka välitetään toiselle isännälle lähiverkossa, tarvitsee välityskäytännön, ytimessä käytössä oleva välitys ja paluureitti — kolme erillistä vaatimusta, jotka ihmiset usein sulauttavat yhdeksi. Modernit firewalldin käytäntöoliot kuvaavat suunnatun liikenteen saapuvan ja lähtevän vyöhykkeen välillä, ja siinä on oikea paikka ilmaista, mitkä VPN-lähteet saavat saavuttaa mitkä yksityiset palvelut.

Määrittele sallitut lähteet täsmällisesti ja anna kaiken muun pudota hylkäykseen. Ulomman palvelun sallinta ei ole tuo käytäntö, miltä vyöhykeasettelu sitten näyttääkin.

Miksi rajapintaan luottaminen on väärä oikotie

Tunnelirajapinnan sijoittaminen vyöhykkeeseen, jonka kohde hyväksyy kaiken, sallii kaiken salatun liikenteen jokaiseen palveluun, jonka isäntä tarjoaa, myös niihin, joita et ole käynyt läpi. Luotetun vyöhykkeen uudelleenkohteistaminen rajoittavaksi käynnissä olevalla koneella on pahempaa, koska muut rajapinnat ja lähdealueet voivat jo riippua sen merkityksestä ja muuttavat käyttäytymistään, kun muokkaat sitä. Jos tarvitset kapean käytännön, luo sellainen; älä käytä jaettua vyöhykettä uuteen tarkoitukseen.

Pidä myös tunnelin vyöhykeosoitus vakaana sen komponentin kautta, joka omistaa kyseisen kokoonpanon. Osoituksen menettäminen uudelleenkäynnistyksessä tuottaa vian, joka näyttää palomuurisäännön ongelmalta ja on todella pysyvyysongelma.

Varmista kolme asiaa, mukaan lukien yksi hylkäys

Testaa ulompi yhteys ulkopuolelta, testaa yksi valtuutettu sisempi palvelu yhdistetystä asiakkaasta ja testaa yksi palvelu, jonka pitäisi pysyä saavuttamattomana. Kolmas testi on se, joka erottaa käytännön sivuvaikutuksesta, ja juuri sen ihmiset jättävät väliin, koska kaikki näyttää toimivan. Jos hylätty palvelu vastaa, olet sallinut vyöhykkeen etkä palvelua.

Kirjaa vyöhyke, portti, kuljetus ja käytäntöolio palvelimen muistiinpanoihin. Muuten seuraava muutos tällä isännällä alkaa samasta oletuksesta.