Takaita hanyar OpenVPN zuwa LAN ɗaya da ka'idodin UFW

Yanke shawara kan izini kafin ka buɗe fayil na katangar wuta: abokan ciniki da aka tabbatar za su iya buɗe haɗi zuwa wani yanki na cibiyar sadarwa ɗaya, kuma hanyar dole ta ƙi duk wata hanyar wucewa, ko da abokin ciniki ya shigar da ƙarin hanyoyi. Wannan jumlar ita ce ƙira, kuma kowane ƙa'ida da ke ƙasa yana nan don aiwatar da ita. Wani abu mafi faɗi, kamar dukan filin adireshi na sirri, fita zuwa intanet ta rami, ko zirga-zirgar tsakanin takwarorinsu, wata ƙira ce daban wadda take bukatar nata shawarar. Ƙa'idodin kuma da gangan suna da ban sha'awa, domin katangar wuta mai hikima ita ce wadda ba wanda zai iya bincika ta daga baya.

Ka rubuta yanayin tsarin da izini tukuna

Misalin yana amfani da sabar Community OpenVPN da na'urar TUN ta sararin mai amfani mai suna tun0, tafkin abokan ciniki 10.77.0.0/24, da yanki ɗaya na cibiyar sadarwa da aka haɗa 192.168.60.0/24 a kan lan0. Tura IPv4 yana aiki tukuna kuma LAN tana da hanyar dawowa zuwa tafkin, saboda haka babu abin da ke nan ya dogara da fassara tsakaninsu.

UFW ne ya mallaki katangar wuta a wannan uwar garke, kuma babu tsarin ka'idojin kwantena ko tebur na daban na nftables da zai iya sanya hanyar karɓa ta farko. Hanyar kai tsaye ta saukar da kwarara da ke tsallake matattarar za ta mai da sarƙoƙin tsaro kawai adon gani, saboda haka tabbatar babu wanda yake aiki. Bar tura client-to-client na OpenVPN kansa a kashe, domin zirga-zirgar tsakanin takwarorinsu da ba ta taɓa wucewa ta matattarar tsarin aiki ba ba za a iya iyakance ta da shi ba. Mai saurare na waje da ka'idodin gudanarwa suna nan yadda suke, tunda wannan canji yana sarrafa zirga-zirgar rami da aka kwance, maimakon maye gurbin katangar wuta.

Sanya masu gadi kafin karɓar farko na UFW

Ba da izinin hanya sannan a ƙi bai isa ba don tsayayyen iyaka. Ka'idodin before na asali suna karɓar zirga-zirgar da aka kafa da wasu ICMP kafin a duba kowace ƙa'idar mai amfani, saboda haka kwararar da aka ba da izini a makon da ya gabata na iya kasancewa a wajen sabon ƙuntatawar manufa kawai domin tana da yanayi har yanzu. Yi kwafin fayilolin UFW kuma ka riƙe na'urar konsoli ta waje a buɗe kafin gyara.

A sashen *filter na fayil ɗin /etc/ufw/before.rules, ayyana sarƙoƙi biyu kusa da ayyanoin da ke akwai da kuma kafin kowace layin ƙa'ida.

:vpn-src-guard - [0:0]
:vpn-reply-guard - [0:0]

Nan da nan bayan ayyanoin, da kuma kafin izinin shigarwa da turawa, tsallaka cikinsu ka bayyana abin da suke yarda da shi.

-A ufw-before-input -i tun0 -j DROP
-A ufw-before-forward -i tun0 -j vpn-src-guard
-A ufw-before-forward -o tun0 -j vpn-reply-guard

-A vpn-src-guard -o lan0 -d 192.168.60.0/24 -s 10.77.0.0/24 -m conntrack --ctdir ORIGINAL -j RETURN
-A vpn-src-guard -j DROP

-A vpn-reply-guard -i lan0 -d 10.77.0.0/24 -s 192.168.60.0/24 -m conntrack --ctstate RELATED,ESTABLISHED --ctdir REPLY -j RETURN
-A vpn-reply-guard -j DROP

Ka riƙe sauran sashen da layinsa na COMMIT. Manna tebur na biyu na matattara ko share ƙa'idodin da ba su da alaƙa ita ce hanyar da canjin katangar wuta ya zama dakatarwar aiki, kuma fayil ɗin yana da sauran sake kunnawa ɗaya kafin ya zama kwafin da ya fi muhimmanci.

Ka karanta abin da kowane mai gadi ya yarda da shi kuma ya ƙi

Sarƙa ta farko tana ci gaba da aiki ne kawai idan tushen yana cikin tafki, manufa ita ce yankin ɗaya, hanyar fita ita ce LAN kuma fakitin yana tafiya a asalin alkiblar kwarararsa. Duk abin da ya zo daga ramin ban da wannan ana zubar da shi, ciki har da tushen da ke wajen tafki da kowace manufa da ta wuce yankin da aka yarda.

Fakitin tsakanin takwarorinsu yana shiga kuma yana fita tun0, saboda haka yana kasawa a gwajin hanyar LAN kafin ma a kai ga duba manufa. Sabbin haɗe-haɗe daga LAN zuwa abokan ciniki kuma suna kasawa a gwajin alkiblar amsa, wanda ke rufe hanyar kira ta baya bisa tsoho.

Manufar RETURN tana riƙe da manufofin UFW na yau da kullum a wasa. Waɗannan sarƙoƙi suna tacewa, kuma izinin hanya da ka ƙara bayan haka har yanzu yana yanke shawara ko za a karɓi fakitin da ya tsira. Wannan rabuwa ce ke ba ka damar canza yankin da aka yarda a wuri ɗaya daga baya. Da masu gadi sun karɓi fakiti kai tsaye, kowace ƙa'ida ta gaba za a ƙara ta sau biyu.

Ba da izinin yankin ka rufe ƙofofin gefe

Fara duba izinin hanyar, sannan cire alamar dubawa don aiwatar da shi: sudo ufw --dry-run route allow in on tun0 out on lan0 from 10.77.0.0/24 to 192.168.60.0/24. Bayan haka, duba tsarin ƙa'idodin mai amfani, domin ƙin da ya gabata har yanzu yana cin nasara a kan yarda ta baya. Izinin dukan yankin kuma ba daidai ba ne a siffa lokacin da kawai tashar HTTPS ta uwar garke ɗaya ya kamata a iya isa gareta.

Lura da abin da zubar da shigarwa ke yi: abokan cinikin rami ba za su iya isa kowace sabis a kan hanyar da kanta ba, ciki har da mai sauraren DNS da aka ɗaure da adireshinta na LAN. Karɓar bakuncin DNS a can yana bukatar keɓancewar da aka yi da gangan kafin zubarwa da kuma kwangilar izini da aka sake dubawa. Idan UFW tana gudanar da IPv6, ƙara zubarwa masu dacewa don tun0 a cikin before6.rules kuma, domin jerin manufofin IPv4 ba ya faɗin komai game da fakitin IPv6.

Tabbatar da manufofin da aka loda, ba dubawa ba

Duba sake loda, aiwatar da shi a cikin tagar kulawa, ka karanta tsarin ƙa'idodin mai rai.

sudo ufw --dry-run reload
sudo ufw show raw

Tabbatar masu gadin rami sun bayyana kafin izinin yanayi na asali da na ICMP. ufw status na fili ba ya nuna ƙa'idodin before da aka gyara da hannu, shi ya sa masu aiki ke yanke hukuncin cewa ƙa'ida ta ɓace alhali kuwa an loda ta. Karanta lissafin danye daga sama zuwa ƙasa maimakon neman guntu. Idan masu gadi sun bayyana bayan izinin yanayi, iyakar ba ta yin abin da fayil ɗin ke nunawa.

Sannan gwada ɗabi'a ba rubutu ba. Buɗe sabon haɗi zuwa uwar garke da aka yarda ka kalli amsa, tura buƙata marar lahani zuwa manufar da ke wajen yankin ka tabbatar ta mutu, gwada haɗin tsakanin takwarorinsu, gwada sabis na gida a hanyar, kuma gwada haɗin LAN-zuwa-abokin-ciniki ba tare da nema ba. Haɗa kwarara ɗaya da ke wajen iyaka wadda ta kasance kafin canjin, ka share wannan kwararar kawai maimakon zubar da dukkan teburin bin diddigin na'urar.

Rubuta iyakoki kusa da ƙa'idodin: wannan yana iyakance wucewa kuma ba wani abu ba. Ba ya hana abokin ciniki amfani da nasa haɗin intanet, ba ya hana uwar garken LAN da aka yarda turawa gaba, kuma ba ya maye gurbin tabbatarwa a cikin sabis ɗin da aka yarda.