Shorewallin vyöhykkeet OpenVPN:n kahdelle pakettipolulle
Erota salattu OpenVPN-siirto salatusta asiakasliikenteestä, anna tunnelille oma vyöhyke ja salli vain se yksi palvelu, jota asiakas tarvitsee.
Kaksi pakettivirtaa ylittää Shorewall-yhdyskäytävän, joka päättää OpenVPN-yhteyden, ja vain toinen niistä on salattu. Ensimmäinen on asiakkaan siirto internetiin päin olevalle liitännälle VPN-kuuntelijalle. Toinen on salattu purkautuva pyyntö, joka lähtee tunneliliitännästä kohti toimistopalvelinta tai yhdyskäytävän palvelua. Piirrä molemmat ennen käytännön muokkaamista, sillä ensimmäisen tyydyttävä sääntö ei tee toiselle mitään.
Piirrä kaksi virtaa ennen käytännön muokkaamista
Kirjoita virrat riveinä, joissa on lähde, kohde, protokolla ja portti. Ulommalla polulla lähde on asiakkaan julkinen osoite ja kohde on yhdyskäytävän kuunteluportti; Shorewall käsittelee sitä internetistä palomuuriin tulevana liikenteenä. Sisemmällä polulla lähde on tunnelin osoitealue ja kohde on hyväksytty palvelu. Kahdella rivillä on eri omistajat, vaikka yksi ylläpitäjä hoitaisi molemmat.
| Flow | Zone relationship | What to constrain |
|---|---|---|
| Encrypted OpenVPN transport | Internet to the firewall host | The listener's actual protocol and port |
| Decrypted request to a LAN service | VPN clients to the LAN zone | One approved server and service |
| Decrypted request to the gateway | VPN clients to the firewall host | Only the local services required |
| Request to another VPN client | VPN clients to VPN clients | Denied unless deliberately required |
Lisää rivi vain, jos pyyntö päättyy itse yhdyskäytävään, esimerkiksi nimipalvelimen tai hallinnan käyttö. Isäntäkoneen palvelu noudattaa isännän syötekäytäntöä, ei edelleen välitettyä polkua. Näiden kahden sekoittaminen on syy siihen, miksi kapea tunnelisääntö lopulta paljastaa hallintaliitännän.
Määritä tunnelin vyöhyke ja liitännän laajuus
Kulkijan vyöhyke ilmoitetaan tiedostossa /etc/shorewall/zones, tunneliliitäntä liitetään tiedostossa /etc/shorewall/interfaces ja ulompi yhteys kuvataan tiedostossa /etc/shorewall/tunnels. Mukautu asennetun julkaisun syntaksiin, sillä sarakejärjestys ja valintojen nimet ovat muuttuneet pääversioiden välillä. Oppaan esimerkkiportti ei ole syy sallia eri porttia kuin se, jota taustaprosessi todella kuuntelee. TCP ja UDP eivät ole vaihdettavissa vain siksi, että luvut täsmäävät.
Opas ryhmittelee liitännät merkinnällä tun+. Isännällä, jolla on useampi kuin yksi tunneli, tuo jokerimerkki voi sijoittaa toisen, eri luottamustason VPN:n samaan vyöhykkeeseen. Tarkista laajuus todella olemassa olevia liitäntöjä vasten ja pidä nimeäminen yhteyshallinnan elinkaaren alla sen sijaan, että muokkaisit liitäntöjen nimiä käsin.
Historiallinen opas sisältää paljon vanhempia OpenVPN-määritysesimerkkejä, eikä sen salausohjeita pitäisi kopioida nykyiseen käyttöönottoon. Lainaa sen sijaan vyöhyke- ja virtamalli. Ota salauksen perusta yhdyskäytävän ylläpidetystä OpenVPN-käytännöstä.
Salli vain se polku, jonka luokittelit
Laaja hyväksyntä VPN-vyöhykkeeltä lähiverkkoon on aloituskaavio, ei valmis käytäntö. Kirjoita sallittu asiakaslähde, palvelun todellinen osoite, protokolla ja portti. Lue sitten sen yläpuolella olevat säännöt ja vyöhykkeen oletus, sillä kapea lisäys ei kumoa laajaa lupaa, joka jo täsmää. Liikenne yhdyskäytävän isäntään on erillinen suhde sen kautta välitettyyn liikenteeseen.
Asiakkaiden välillä kulkeva liikenne tarvitsee oman päätöksensä. OpenVPN:n client-to-client ja Shorewallin routeback vaikuttavat molemmat siihen, voivatko asiakkaat tavoittaa toisensa, eikä kumpaakaan pitäisi ottaa käyttöön vain yhden lähiverkkosovelluksen toimimiseksi. Päätä, missä eristys toteutetaan, ennen kuin testaat sitä.
Pidä vastauspolku samassa suunnitelmassa. Palvelun tai sen reitittimen on tiedettävä, miten liikenne palautetaan tunnelin alueelle, tai suunnittelun on käännettävä lähde tarkoituksellisesti ja aiottu laajuuden sisällä.
Validoi ja todista sitten molemmat polut
Validoi määritys ennen kuin käynnistät mitään uudelleen, ja pidä riippumaton hallintayhteys auki siltä varalta, että uusi käytäntö on väärä.
shorewall checkPuhtaan tarkistuksen jälkeen ota määritys käyttöön ja lue takaisin, mitä Shorewall latautti. Nämä luennat kuvaavat käynnissä olevaa käytäntöä eivätkä sitä, mitä tiedosto näyttää sanovan.
shorewall show zones
ip route get 192.168.10.20Testaa yhtä uutta sallittua pyyntöä ja yhtä tarkoituksella hylättyä pyyntöä samalta asiakkaalta. Onnistunut OpenVPN-kättely todistaa vain ulomman vaihdon; sallittu palvelu ja hylätty resurssi todistavat tarkoittamasi sisemmän käytännön. Yhdistä asiakas sitten uudelleen ja toista, sillä tunneliliitännän nimi ja osoite voivat muuttua istuntojen välillä. Jos tulos poikkeaa, korjaa vyöhykkeen laajuutta äläkä laajenna sääntöä.