Geata OpenVPN a theorannú do aon LAN le rialacha UFW

Socraigh an ceadú sula n-osclaíonn tú comhad balla dóiteáin: féadfaidh cliaint fhíordheimhnithe naisc a oscailt chuig aon fho-líonra amháin, agus caithfidh an gheata gach bealach idirthurais eile a dhiúltú fiú nuair a shuiteálann cliant róid bhreise. Is é an abairt sin an dearadh, agus tá gach riail thíos ann chun í a fhorghníomhú. Is dearadh difriúil é rud ar bith níos leithne, mar an spás seoladh príobháideach ar fad, eisilt trí idirlíon tríd an tollán nó trácht piara-go-piara, a dteastaíonn a chinneadh féin uaidh. Tá na rialacha d'aon ghnó leadránach freisin, mar is é balla dóiteáin cliste an ceann nach féidir le duine ar bith é a iniúchadh níos déanaí.

Scríobh an topolaíocht agus an ceadú síos ar dtús

Úsáideann an sampla freastalaí Community OpenVPN le feiste TUN i spás úsáideora darb ainm tun0, linn cliant 10.77.0.0/24, agus aon fho-líonra ceangailte 192.168.60.0/24 ar lan0. Oibríonn seoladh chun cinn IPv4 cheana féin agus tá bealach fillte ag an LAN chuig an linn cheana, mar sin ní bhraitheann aon rud anseo ar aistriú eatarthu.

Is le UFW an balla dóiteáin ar an óstach seo, agus ní féidir le haon sraith rialacha coimeádáin ná tábla nftables ar leith bealach glactha níos luaithe a shuiteáil. Dhéanfadh aicearra díluchtaithe sreafa a sheachnaíonn an scagaire na slabhraí garda a fhágáil mar mhaisiúchán, mar sin deimhnigh nach bhfuil aon cheann gníomhach. Fág seoladh chun cinn client-to-client OpenVPN féin díchumasaithe, mar ní féidir trácht piara-go-piara nach dtrasnaíonn scagaire an chórais oibriúcháin riamh a theorannú leis. Fanann an t-éisteoir seachtrach agus na rialacha riaracháin mar atá, ós rud é go rialaíonn an t-athrú seo trácht díchriptithe an tolláin seachas an balla dóiteáin a athsholáthar.

Cuir na gardaí roimh ghlacthaí luatha UFW

Ní leor ceadú róid agus diúltú ina dhiaidh sin le haghaidh teorainn dhaingean. Glacann rialacha before caighdeánacha le trácht bunaithe agus le roinnt ICMP sula gcomhairlítear aon riail úsáideora, mar sin féadann sreabhadh a ceadaíodh an tseachtain seo caite fanacht lasmuigh den srian cinn scríbe nua díreach toisc go bhfuil staid aige fós. Déan cúltaca de chomhaid UFW agus coinnigh consól lasmuigh den bhanda oscailte sula n-eagraíonn tú.

Sa roinn *filter den chomhad /etc/ufw/before.rules, dearbhaigh dhá shlabhra in aice leis na dearbhuithe atá ann agus roimh aon líne rialach.

:vpn-src-guard - [0:0]
:vpn-reply-guard - [0:0]

Díreach i ndiaidh na ndearbhuithe, agus roimh na ceaduithe ionchuir agus seolta chun cinn, léim isteach iontu agus sainmhínigh a ghlacann siad.

-A ufw-before-input -i tun0 -j DROP
-A ufw-before-forward -i tun0 -j vpn-src-guard
-A ufw-before-forward -o tun0 -j vpn-reply-guard

-A vpn-src-guard -o lan0 -d 192.168.60.0/24 -s 10.77.0.0/24 -m conntrack --ctdir ORIGINAL -j RETURN
-A vpn-src-guard -j DROP

-A vpn-reply-guard -i lan0 -d 10.77.0.0/24 -s 192.168.60.0/24 -m conntrack --ctstate RELATED,ESTABLISHED --ctdir REPLY -j RETURN
-A vpn-reply-guard -j DROP

Coinnigh an chuid eile den roinn agus a líne COMMIT. Is é greamú dara tábla scagaire nó scriosadh rialacha neamhghaolmhara an bealach a n-éiríonn athrú balla dóiteáin ina shos, agus tá an comhad aon atosú amháin ó bheith mar an t-aon chóip a bhfuil tábhacht léi.

Léigh cad a ghlacann agus a dhiúltaíonn gach garda

Ní leanann an chéad slabhra den phróiseáil ach amháin nuair a bhíonn an fhoinse sa linn, is é an ceann scríbe an t-aon fho-líonra, is é an comhéadan imeachta an LAN agus téann an paicéad sa treo bunaidh dá shreabhadh. Caitear gach rud eile a thagann ón tollán amach, lena n-áirítear foinse lasmuigh den linn agus aon cheann scríbe thar an bhfo-líonra ceadaithe.

Téann paicéad piara-go-piara isteach agus amach tun0, mar sin teipeann air i dtástáil chomhéadan an LAN sula sroichtear seiceáil cinn scríbe fiú. Teipeann ar naisc nua ón LAN i dtreo cliant i dtástáil threo an fhreagra freisin, rud a dhúnann an bealach aisghlao droim ar ais de réir réamhshocraithe.

Coinníonn an sprioc RETURN gnáthbheartas UFW i bhfeidhm. Scagann na slabhraí seo, agus socraíonn an ceadú róid a chuireann tú leis ina dhiaidh sin fós an nglacfar le paicéad a mhaireann. Is é an scaradh sin a ligeann duit an fho-líonra ceadaithe a athrú in aon áit amháin níos déanaí. Dá nglacfadh na gardaí le paicéid go díreach, chaithfí gach riail amach anseo a chur leis faoi dhó.

Údaraigh an fho-líonra agus dún na doirse cliathánacha

Réamhamharc ar cheadú an róid ar dtús, ansin bain an bratach réamhamhairc chun é a chur i bhfeidhm: sudo ufw --dry-run route allow in on tun0 out on lan0 from 10.77.0.0/24 to 192.168.60.0/24. Ina dhiaidh sin déan athbhreithniú ar ord na rialacha úsáideora, mar bíonn an lámh in uachtar ag diúltú níos luaithe ar cheadú níos déanaí fós. Is cruth mícheart é ceadú don fho-líonra iomlán freisin nuair nach ceart ach port HTTPS aon ósta amháin a bheith inrochtana.

Tabhair faoi deara cad a dhéanann an t-ionchur a chaitheamh amach: ní féidir le cliaint an tolláin aon tseirbhís ar an gheata féin a shroicheadh, lena n-áirítear éisteoir DNS atá ceangailte dá sheoladh LAN. Teastaíonn eisceacht d'aon ghnó roimh an gcaitheamh amach agus conradh ceadaithe athbhreithnithe chun DNS a óstáil ansin. Má riarann UFW IPv6, cuir caitheamh amach comhfhreagrach leis le haghaidh tun0 i before6.rules freisin, mar ní deir liosta cinn scríbe IPv4 aon rud faoi phaicéid IPv6.

Fíoraigh an beartas luchtaithe, ní an réamhamharc

Réamhamharc ar an athluchtú, cuir i bhfeidhm é i bhfuinneog cothabhála, agus léigh an tsraith rialacha bheo.

sudo ufw --dry-run reload
sudo ufw show raw

Deimhnigh go dtagann gardaí an tolláin chun solais roimh na ceaduithe réamhshocraithe staid agus ICMP. Ní thaispeánann ufw status simplí rialacha before a eagraíodh de láimh, agus is é sin an fáth a dtagann oibreoirí ar an tuairim go bhfuil riail in easnamh nuair atá sí luchtaithe i ndáiríre. Léigh an liosta amh ó bharr go bun in ionad blúire a chuardach. Má thagann na gardaí chun solais tar éis ceadú staid, níl an teorainn ag déanamh an rud a thugann an comhad le tuiscint.

Ansin tástáil iompar seachas téacs. Oscail nasc úr chuig óstach ceadaithe agus breathnaigh ar an bhfreagra, seol iarratas neamhurchóideach chuig ceann scríbe lasmuigh den fho-líonra agus deimhnigh go bhfaigheann sé bás, bain triail as nasc piara-go-piara, bain triail as seirbhís atá áitiúil don gheata, agus bain triail as nasc LAN-go-cliant gan iarraidh. Cuir sreabhadh amháin lasmuigh den raon a bhí ann roimh an athrú san áireamh, agus glan an sreabhadh sin amháin in ionad tábla rianaithe iomlán an mheaisín a shruthlú.

Taifead na teorainneacha in aice leis na rialacha: teorannaíonn sé seo idirthuras agus rud ar bith eile. Ní chuireann sé cosc ar chliant a nasc idirlín féin a úsáid, ní chuireann sé cosc ar óstach LAN ceadaithe trácht a sheoladh ar aghaidh, agus ní thagann sé in ionad fíordheimhniú laistigh de na seirbhísí ceadaithe.