firewalld-harkregel fersus trochstjoerbelied: wat elk docht

In VPN dy't ferbynt mar neat berikt, wurdt meastentiids as in firewallprobleem beskreaun, en de oplossing dêr't minsken nei gripe is de tunnelinterface yn in fertroude sône pleatse. Dat wurket yn de sin dat ferkear begjint te streamen, mar it lit ek folle mear troch as de bedoelde tsjinst. De twa beliedsregels dy't hjirby belutsen binne, binne ferskillend: ien lit it bûtenste ferfier ta nei in harkende socket, en de oare autorisearret ûntsifere ferkear om in spesifike boarne te berikken. It behanneljen fan har as ien ynstelling is wat in smelle tastimming yn in brede feroaret. De twa wurde op ferskillende plakken besletten, en dêrom is de flater sa maklik.

Twa beliedsregels, ien tunnel

It bûtenste belied beantwurdet in ienfâldige fraach: mei in pakket fan dizze boarne UDP 1194 op dizze host berikke? It binnenste belied beantwurdet in oare: mei de autentisearre klient efter dy tunnel dit bestimmingsplak berikke, mei dit protokol, op dizze poarte? It earste giet oer in socket, it twadde oer in paad, en firewalld modellearret se mei ferskillende objekten om't se op ferskillende punten besletten wurde. Ien is in eigenskip fan in socket op dizze host, de oare fan in paad der trochhinne.

It praktyske gefolch is dat in wurkjende tunnel neat oer it twadde belied seit, en in korrekt twadde belied makket it earste net oerstallich.

Lit de wiere bûtenste harker ta

Begjin mei te ûndersykjen wat al tawiisd is ynstee fan te ferûnderstellen. Lês de aktive sônes, list de sône op dy't echt yngeand ferkear draacht, en kontrolearje de ynstalleare tsjinstdefinysje, want in tsjinstnamme beskriuwt in set poarten en seit neat oer oft de harker fan dizze server dêrmei oerienkomt.

firewall-cmd --get-active-zones
firewall-cmd --zone=public --list-all
firewall-cmd --info-service=openvpn

As de harker echt UDP 1194 is op dy sône, iepenje dan krekt dy poarte en dat ferfier, en meitsje dan deselde spesifike regel permanint neidat jo it testen hawwe. Kontrolearje ek boarnebasearre tawizings, want in sône dy't oan in boarneberik bûn is, kin it ferkear pakke foardat de interface-sône it ea sjocht.

Autorisearje it ûntsifere bestimmingsplak apart

In ferbining nei in tsjinst dy't op de VPN-server sels draait, is lokaal-ynfierbelied. In ferbining dy't nei in oare host yn 'e LAN trochstjoerd wurdt, hat trochstjoerbelied nedich, trochstjoering yn 'e kernel ynskeakele en in antwurdpaad — trije aparte easken dy't minsken faak yn ien gearfetsje. Moderne firewalld-beliedsobjekten beskriuwe rjochte ferkear tusken in yngeande sône en in útgeande sône, en dat is it rjochte plak om út te drukken hokker VPN-boarnen hokker privee tsjinsten berikke meie.

Bepaal de tastiene boarnen eksplisyt en lit al it oare yn in wegering falle. In tastimming foar de bûtenste tsjinst is dat belied net, hoe't de sône-yndieling der ek útsjocht.

Wêrom't fertrouwen op 'e interface de ferkearde fluchwei is

De tunnelinterface yn in sône pleatse wêrfan't it doel alles akseptearret, lit al it ûntsifere ferkear ta nei elke tsjinst dy't de host bleatleit, ynklusyf dy't jo net neisjoen hawwe. It fertroude sône opnij rjochtsje om beheinend te wêzen op in masine dy't draait is slimmer, want oare interfaces en boarneberikken kinne al fan syn betsjutting ôfhingje en sille gedrach feroarje as jo it bewurkje. As jo in smel belied nedich hawwe, meitsje ien; werbrûk gjin dielde sône.

Hâld ek de sône-tawizing fan 'e tunnel stabyl fia hokker komponint dan ek dy konfiguraasje besit. It ferliezen fan 'e tawizing by it opnij starten liedt ta in flater dy't op in firewallregelprobleem liket en eins in persistentieprobleem is.

Kontrolearje trije dingen, wêrfan ien wegering

Test de bûtenste ferbining fan bûten, test ien autorisearre binnenste tsjinst fan in ferbûne klient, en test ien tsjinst dy't ûnberikber bliuwe moat. De tredde test is dejinge dy't belied fan in byeffekt ûnderskiedt, en it is dejinge dy't minsken oerslaan om't alles te wurkjen liket. As de wegere tsjinst antwurdet, hawwe jo in sône tastien ynstee fan in tsjinst.

Skriuw de sône, poarte, ferfier en beliedsobjekt yn 'e notysjes fan 'e server. Oars begjint de folgjende feroaring op dizze host by deselde oanname.