Criosanna Shorewall don dá chonair phaicéad OpenVPN
Deighil an t-iompar OpenVPN criptithe ó thrácht cliaint díchriptithe, tabhair a chrios féin don tollán, agus ceadaigh an t-aon tseirbhís amháin a theastaíonn ón gcliant.
Trasnaíonn dhá shruth phaicéad geata Shorewall a chríochnaíonn OpenVPN, agus níl ach ceann acu criptithe. Is é an chéad cheann iompar an chliaint chuig éisteoir VPN ar an gcomhéadan atá dírithe ar an idirlíon. Is é an dara ceann an t-iarratas díchriptithe a fhágann comhéadan an tolláin chuig freastalaí oifige nó seirbhís ar an ngeata. Déan léarscáil den dá cheann sula n-athraíonn tú an beartas, mar ní dhéanann riail a shásaíonn an chéad cheann aon rud don dara ceann.
Tarraing an dá shruth sula n-athraíonn tú an beartas
Scríobh na sruthanna mar ríthe le foinse, ceann scríbe, prótacal agus port. Ar an gconair sheachtrach is é foinse seoladh poiblí an chliaint agus is é ceann scríbe port éisteora an gheata; measann Shorewall é sin mar thrácht idirlín chuig an mballa dóiteáin. Ar an gconair inmheánach is é foinse raon seoltaí an tolláin agus is é ceann scríbe an tseirbhís cheadaithe. Tá úinéirí éagsúla ag an dá rí, fiú nuair a chothaíonn riarthóir amháin an dá cheann.
| Flow | Zone relationship | What to constrain |
|---|---|---|
| Encrypted OpenVPN transport | Internet to the firewall host | The listener's actual protocol and port |
| Decrypted request to a LAN service | VPN clients to the LAN zone | One approved server and service |
| Decrypted request to the gateway | VPN clients to the firewall host | Only the local services required |
| Request to another VPN client | VPN clients to VPN clients | Denied unless deliberately required |
Ná cuir rí leis ach amháin má chríochnaíonn an t-iarratas ar an ngeata féin, mar rochtain ar an réiteoir nó ar an riarachán. Leanann seirbhís ar an óstach beartas ionchuir an óstaigh, ní an chonair a sheoltar ar aghaidh. Is é meascadh an dá rud an bealach a nochtann riail tolláin chúng comhéadan riaracháin.
Sann crios an tolláin agus scóip an chomhéadain
Dearbhaítear crios an taistilí i /etc/shorewall/zones, ceanglaítear comhéadan an tolláin i /etc/shorewall/interfaces, agus déantar cur síos ar an nasc seachtrach i /etc/shorewall/tunnels. Oiriúnaigh do chomhréir an eisiúna suiteáilte, mar tá ord na gcolún agus ainmneacha na roghanna athraithe idir mórleaganacha. Ní cúis é port samplach an treorach chun port éagsúil a cheadú ón gceann a n-éisteann an démon leis i ndáiríre. Níl TCP agus UDP idirmhalartach díreach toisc go n-oireann na huimhreacha dá chéile.
Grúpálann an treoir comhéadain le tun+. Ar óstach a bhfuil níos mó ná tollán amháin air, is féidir leis an gcárta sin dara VPN de leibhéal muiníne éagsúil a chur sa chrios céanna. Déan athbhreithniú ar an scóip i gcoinne na gcomhéadan atá ann i ndáiríre, agus coinnigh an ainmniú faoi shaolré an bhainisteora naisc seachas ainmneacha comhéadain a athrú de láimh.
Tá samplaí cumraíochta OpenVPN i bhfad níos sine sa treoir stairiúil, agus ní cheart a comhairle chripteagrafaíochta a chóipeáil isteach i ndáileadh reatha. Faigh ar iasacht an tsamhail criosanna agus sruthanna ina ionad. Tóg an bonn cripteagrafaíochta ó bheartas OpenVPN chothabháilte an gheata.
Ná ceadaigh ach an chonair a d’aicmigh tú
Is sceitse tosaigh é glacadh leathan ó chrios VPN go LAN, ní beartas críochnaithe. Scríobh foinse an chliaint cheadaithe, seoladh iarbhír na seirbhíse, an prótacal agus an port. Ansin léigh na rialacha os a chionn agus réamhshocrú an chreasa, mar ní chealaíonn breisiú cúng cead leathan a fhreagraíonn cheana. Is gaol ar leith é trácht chuig óstach an gheata ó thrácht a sheoltar ar aghaidh tríd.
Teastaíonn a chinneadh féin ó thrácht idir cliaint. Bíonn tionchar ag client-to-client OpenVPN agus routeback Shorewall araon ar cibé an féidir le cliaint a chéile a shroicheadh, agus níor cheart ceachtar acu a chumasú díreach chun feidhmchlár LAN amháin a chur ag obair. Socraigh cá gcuirtear leithlisiú i bhfeidhm sula dtástálann tú é.
Coinnigh an chonair freagartha sa phlean céanna. Caithfidh an tseirbhís nó a ródaire a bheith ar an eolas faoi conas trácht a chur ar ais chuig raon an tolláin, nó caithfidh an dearadh an fhoinse a aistriú go toiliúil agus laistigh den scóip bheartaithe.
Bailíochtaigh, ansin cruthaigh an dá chonair
Bailíochtaigh an chumraíocht sula n-atosóidh tú aon rud, agus coinnigh seisiún riaracháin neamhspleách oscailte ar eagla go bhfuil an beartas nua mícheart.
shorewall checkTar éis seiceála ghlain, cuir an chumraíocht i bhfeidhm agus léigh ar ais an méid a lódáil Shorewall. Déanann na léitheoirí seo cur síos ar an mbeartas atá ag rith seachas ar an méid a ndealraíonn comhad a rá.
shorewall show zones
ip route get 192.168.10.20Tástáil iarratas nua ceadaithe amháin agus iarratas a diúltaíodh go toiliúil amháin ón gcliant céanna. Ní chruthaíonn croitheadh lámh OpenVPN rathúil ach an malartú seachtrach; cruthaíonn an tseirbhís cheadaithe agus an acmhainn diúltaithe an beartas inmheánach a bhí beartaithe agat. Athnasc an cliant ansin agus déan arís, mar is féidir le hainm agus seoladh chomhéadan an tolláin athrú idir seisiúin. Má tá an toradh difriúil, sásaigh scóip an chreasa seachas an riail a leathnú.